华为云云耀云服务器L实例使用教学 | 访问控制-安全组配置规则 实例教学

2023-09-19 09:59:32

文章目录


华为云耀云服务器L实例访问控制实例教学

任何部署在公网的服务，服务均要实现可用性，机密性，完整性原则，而云服务器的访问控制实例，则最大程度确保服务器安全。

接下来我们将分享访问控制的实践操作：

访问控制-安全组

什么叫安全组

安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云服务器、云容器、云数据库等实例提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当实例加入该安全组后，即受到这些访问规则的保护。

华为云耀云服务器L实例 默认有两个安全组：
在这里插入图片描述

安全组配置

默认安全组配置

创建的华为云耀云服务器L实例默认在“sg-default-smb”安全组中。
在这里插入图片描述
默认安全组有六个规则，四个入方向，两个出方向。
安全组入方向规则
在这里插入图片描述

安全出方向规则
在这里插入图片描述
关联一个实例
在这里插入图片描述

安全组配置实例

现在我们新创建一个安全组，并命名为“hcss_esc_ubuntu”。
点击访问控制-安全组-创建安全组：
在这里插入图片描述

安全组创建

名称：名称自定义，我们命名为“hcss_esc_ubuntu”
模板：模板有三个：稍后我们会详细描述。
描述：对安全组进行适当描述，以方便识别安全组用途和使用范围。
在这里插入图片描述

安全组模板配置
安全组模板：通用Web服务器

入方向：开放了TCP协议的22、3389、80、443四个端口。基本上可以满足远程连接和Web服务需求。
在这里插入图片描述

出方向：
出方向默认开放了IPv4和IPv6允许所有的规则。
在这里插入图片描述
点击确定完成通用WEB服务器模板创建。如果我们需要对模板内的部分规则进行调整，则在确认后，对安全组重新进行配置规则。

配置安全组规则
安全组配置规则功能介绍

点击【配置规则】
在这里插入图片描述
点击【基本信息】查看规则名称、ID、描述。
在这里插入图片描述
点击【入方向规则】
在这里插入图片描述

该页面有三个功能：

  • 添加规则 (添加一条新的规则)
  • 快速添加规则 (快速添加规则与创建安全组时模块“快速添加规则”一致)
  • 删除 (删除，需要先选中指定规则，并执行删除)
  • 一键放通 (针对如果配置了复杂规则，影响服务，应急一键放通，确保业务可用)
修改允许特定IP地址访问Web 80端口服务

点击【修改】操作
在这里插入图片描述
策略仍然为允许策略
在这里插入图片描述
协议端口可选内容非常多，而且支持自定义。范例我们选择【常用协议端口】【HTTP(80)】
在这里插入图片描述
源地址选择【IP地址】，并输入允许外部IP地址：127.37.24.1/32 。
在这里插入图片描述
修改完成，确认无误后，点击【确认】。
在这里插入图片描述

非常点赞的一点，对安全组规则的修改，为避免无意的误操作，会有一次验证。我们选择手机短信验证。
在这里插入图片描述
这样，我们就完成了一次规则的修改，如下规则意思为：
仅允许127.37.24.1/32 地址可以远程访问实例的TCP 80端口。
在这里插入图片描述

建立仅允许访问特定目的地址的安全规则

点击【出方向规则】
默认的规则为IPv4和IPv6，并且全部为允许。这在正式环境中，其实并不安全。
在这里插入图片描述
我们会演示一个案例，仅允许华为云云耀云服务器L实例访问指定地址。并遵循最小权限原则。
在这里插入图片描述
添加一条仅允许访问public DNS的规则：

  • 优先级：默认为1-100，我们设定为最高优先级“1”。
  • 策略：允许策略
  • 协议端口：为方便测试，我们选择ICMP协议。
  • 目的地址：可以根据实际情况自定义，我们选择public DNS：8.8.8.8。
  • 描述：描述内容

在这里插入图片描述

如果需要增加规则，可以点击【增加一条规则】
在这里插入图片描述

点击【确定】后，我们的这条规则就创建完成了。
在这里插入图片描述

我们这里创建了允许的规则，但是没有拒绝规则，出方向的流量即便与我们创建的规则不匹配，就会寻找下一条规则。所有，我们还需要创建一条拒绝的规则。
通常，拒绝的规则为最后一条，并且为拒绝所有。这样，我们外向的流量就变成白名单策略方式，可以达成我们最小权限原则。

为方便测试，我们把IPv4全部允许这条策略直接修改为全部拒绝即可。
在这里插入图片描述

修改完成后，点击【确认】

配置网络ACL

特别需要提醒，这里修改全部拒绝的规则后，我们还有一步很关键的步骤，增加允许访问的路由：
返回控制台，点击【访问控制】【网络ACL】【配置规则】
在这里插入图片描述
进入配置规则后，点击【出方向规则】
在这里插入图片描述
从截图我们可以看到，出方向的规则只有一条，并且是全部拒绝。
所以，基于我们测试需求，我们需要添加一条允许访问public DNS：8.8.8.8 的规则：

至此，网络ACL添加成功：
在这里插入图片描述

对实例应用安全组

回到控制台，更改安全组，进入【安全组】【更改安全组】选择我们刚才创建的安全组，并点击【确认】
在这里插入图片描述
查看更改安全组成功。
在这里插入图片描述

安全组和网络ACL规则验证测试

在前面的配置安全组规则中，我们创建了仅允许访问外部的public DNS：8.8.8.8，我们在console端进行验证测试。

测试DNS端口是否可以连接

root@hcss-ecs-7b7c:~# telnet 8.8.8.8 53
Trying 8.8.8.8...                    # 表示您正在尝试建立到IP地址 8.8.8.8 的 53 端口的TCP连接。
Connected to 8.8.8.8.                # 连接成功，您已经与目标IP地址（8.8.8.8）建立了连接。
Escape character is '^]'.            # 这一行告诉您可以通过在键盘上按下 Ctrl+] 键来终止Telnet会话。
Connection closed by foreign host.   # 在短暂的时间后，连接被远程主机（在这种情况下是 8.8.8.8）关闭。
root@hcss-ecs-7b7c:~#

测试DNS端口可以正常连接。接着反向验证非DNS地址是否可以连接，我们用另外一个public DNS来测试：

root@hcss-ecs-7b7c:~# telnet 114.114.114.114 53
Trying 114.114.114.114...            # 表示您正在尝试建立到IP地址 8.8.8.8 的 53 端口的TCP连接。
telnet: Unable to connect to remote host: Connection timed out     # Telnet无法连接到远程主机，并且连接尝试已超时。
root@hcss-ecs-7b7c:~#

从以上两个测试，安全组出方向规则仅允许访问public DNS 8.8.8.8 规则创建成功并且生效。

总结

以上就是：华为云云耀云服务器L实例使用教学 | 访问控制-安全组配置规则 实例教学，希望对大家有所帮助。

整理使用过程，所有操作界面都清晰、系统不卡顿、配置生效及时、规则配置没有歧义。对新手或者运维能大大降低运维工作负载，个人认为非常值得选择。

更多推荐

企业进行品牌推广时怎么才能达到预期广告效应？不如试试软文营销

企业进行品牌推广的目的就在于提升品牌的曝光率，树立该品牌在市场中的形象，加强品牌的影响力与公信力，提高产品的竞争力，那么企业进行品牌推广时怎么才能达到预期效果呢，我们可以试试软文营销，接下来媒介盒子就告诉大家，企业如何利用软文营销来达到预期广告效应。一、 分析市场背景软文营销作为一种营销方式，需要我们在前期分

conda的安装和使用

参考资料：https://www.bilibili.com/read/cv8956636/?spm_id_from=333.999.0.0https://www.bilibili.com/video/BV1Mv411x775/?spm_id_from=333.999.0.0&vd_source=98d31d5c9db8

计算机视觉与深度学习-经典网络解析-AlexNet&ZFNet&VGG&GoogLeNet&ResNet[北邮鲁鹏]

目录标题参考文章LeNet5AlexNet参考文章AlexNet模型结构AlexNet共8层：AlexNet运作流程简单代码实现重要说明重要技巧主要贡献ZFNet主要改进减小第一层卷积核将第二、第三个卷积层的卷积步长都设置为2增加了第三、第四个卷积层的卷积核个数VGG参考VGG网络贡献使用尺寸更小的3×33\times

Vue前端框架11 组件事件与v-mode配合使用、组件数据传递（父传子）、插槽Slot、具名插槽、插槽中的数据传递（双向）

文章目录一、组件事件与v-model配合使用二、组件数据传递（子传父）三、插槽Slots四、具名插槽五、插槽中的数据传递一、组件事件与v-model配合使用组件A的数据变化组件B可以实时显示<template><h3>Main</h3><p>搜索内容为:{{search}}</p><component-b@search

c++文件服务器相关知识点记录-1

1.半同步/半异步模式半同步/半异步模式是一种多线程编程模式，其中一部分线程采用同步方式进行操作，另一部分线程采用异步方式进行操作。在半同步/半异步模式中，通常会有一个主线程和多个工作线程。主线程负责接收和分发任务，它会等待工作线程的完成，并且需要等待所有工作线程完成后才能终止。工作线程负责执行具体的任务，它们可以并行

TikTok的媒体革命：新闻业如何适应短视频时代？

在数字时代，媒体行业一直在不断演变和创新，以适应观众的变化需求和技术的发展。而在这个进化的过程中，短视频应用TikTok已经崭露头角，成为了一个重要的信息传播平台。这篇文章将深入探讨TikTok如何引领了媒体的一场革命，以及新闻业如何适应这个充满挑战和机会的短视频时代。TikTok：媒体的新宠TikTok的成功不仅体现

【xilinx】Versal启动文件简述 pdi bif

Versal启动文件简述FPGA开发圈2022-12-2216:09400浏览0评论0点赞作者：MacMahonStephen，AMD赛灵思开发者Versal™是由多个高度耦合的可配置块组成的自适应计算加速平台(ACAP)。这些块包括NoC、AIE、PL和CIPS（CIPS本身包含不同的域：LPD和FPD）等，启动这些

串口通信遇到的一个问题。

crash信息：W/System.err:java.io.IOException:writefailed:EAGAIN(Tryagain)W/System.err:atlibcore.io.IoBridge.write(IoBridge.java:531)W/System.err:atjava.io.FileOutpu

DSU ON TREE

DSUONTREEDSU：并查集DSUONTREE：树上启发式合并我也不知道为啥树上并查集就是树上启发式合并启发式合并的思想是每次把小的往大的合并，也就是最大化利用已有的答案（大的数组不用清空，在原基础上加上小的即可）。转移到树上，“大”显然就是树的重心。能解决什么样的问题？需要统计子树信息，但是子树的信息不好合并。比

为什么要用vite,用vite的原因是什么

为什么选Vite|Vite官方中文文档(vitejs.dev)在很久以前，javascript是没有模块化的，就是一个整体，所以为了将文件分成很小的模块文件，才出现“打包”这个概念之前的拆分工具像webpack,rollup等，因为项目越来越大，需要很长时间才能启动开发服务器，热替换的作用也不太明显，需要很长时间才会显

frp内网穿透服务器搭建（自建frp内网穿透）

一、简介frp是一款跨平台的内网穿透工具，支持Windows系统，支持linux内核的系统，支持软路由系统，支持群晖nas系统。可以实现多种服务的穿透，以我个人为例，我就通过frp实现了路由器的远程管理，nas的远程访问，pve虚拟机的远程管理，办公电脑的远程桌面。通过一段时间的使用感觉frp就是神器！无线路由器-网关

热文推荐
  1. 嵌入式MCU学习利器-03-在线做RT-Thread实验

    嵌入式MCU学习利器-03-在线做RT-Thread实验很多学生想要学习RT-Thread，但是苦于没有好的学习工具或者物理开发板而选择放弃。现在福利来了，同学们可以基于我们的仿真平台做嵌入式demo,通过调试功能深入学习RT-Thread的原理。本仿真平台基于STM32F103ZE芯片上线了一套RT-Thread课程

  2. 【深度学习】Pytorch 系列教程（一）：PyTorch数据结构：1、Tensor（张量）：维度（Dimensions）、数据类型（Data Types）

    目录一、前言二、实验环境三、PyTorch数据结构0、分类1、Tensor（张量）1.维度（Dimensions）0维（标量）1维（向量）2维（矩阵）3维张量2.数据类型（DataTypes）一、前言ChatGPT：PyTorch是一个开源的机器学习框架，广泛应用于深度学习领域。它提供了丰富的工具和库，用于构建和训练各

  3. 安卓玩机搞机----不用刷第三方官改固件即可享受“高级设置”的操作 ChiMi安装使用步骤

    很多玩友特别喜欢第三方作者修改的带有高级设置的官改包。因为他可以随意修改系统里面的有关设置选项。包括但不限于修改状态栏显示日期秒等等的操作。第三方带高级设置的官改一般官改带高级设置的类似与今天给大家分享下不用刷这些官改包即可享受高级设置的操作。红米k40做个演示步骤机型;红米k40芯片：高通骁龙870安卓版本;安卓12

  4. 使用SeaFile搭建私有云盘并公网访问【cpolar内网穿透】

    文章目录1.前言2.SeaFile云盘设置2.1Owncould的安装环境设置2.2SeaFile下载安装2.3SeaFile的配置3.cpolar内网穿透3.1Cpolar下载安装3.2Cpolar的注册3.3Cpolar云端设置3.4Cpolar本地设置4.公网访问测试5.结语1.前言现在我们身边的只能设备越来越多

  5. 使用Jest搭建自动化单元测试框架为Vue 3项目

    前言在Vue3项目中，自动化单元测试是一个非常重要的环节，它可以帮助我们验证代码的正确性、提高代码质量，并且在项目迭代过程中保证代码的稳定性。本文将介绍如何使用Jest搭建自动化单元测试框架为Vue3项目，并提供代码示例。安装Jest首先，我们需要在项目中安装Jest。打开终端，进入项目根目录，执行以下命令：npmin

  6. Java中this关键字的常见用法

    一、this使用方法总结下来就是，在Java中，this是一个关键字，用于引用当前对象的引用，可以用于引用对象的实例变量和方法。主要用于以下几个方面：1、在构造函数中使用this关键字来调用同一个类中的其他构造函数。这种情况下，this关键字必须作为构造函数的第一行代码出现，并且用于区分不同参数列表的构造函数。publ

  7. WSUS 修补程序管理的替代方法

    什么是WSUSWindowsServerUpdateServices（WSUS）是MicrosoftforWindowsServer提供的免费附加组件，WSUS从Microsoft更新中下载必要的修补程序和更新，并将其分发到Windows网络中存在的Windows操作系统和相关Microsoft应用程序。WSUS和SC

  8. 岩土工程安全监测中振弦采集仪连接振弦传感器时注意事项

    岩土工程安全监测中振弦采集仪连接振弦传感器时注意事项岩土工程安全监测是保障工程稳定和安全的重要手段之一，而振弦采集仪则是岩土工程安全监测的常用设备之一，可以用于实时监测地下水位、土体变形、岩体应力等。其中，振弦传感器是振弦采集仪的核心部件之一，负责采集和传输振动信号。在连接振弦传感器时，需要注意以下几点。一、确定传感器

  9. ChatGPT在职业规划中的智能助手

    随着科技的不断发展，人工智能（AI）正逐渐成为我们日常生活的一部分。ChatGPT作为一种智能语言模型，可以在职业规划中充当智能助手的角色。本文将探讨ChatGPT在职业规划中的应用，以及它如何成为未来工作的智能伙伴。首先，ChatGPT可以提供职业发展的智能建议。通过与ChatGPT的交互，我们可以咨询关于职业发展的