Güvenlik grubu kuralları
Güvenlik grubu kurallarının işleyişini öğrenin: yön, protokol, bağlantı noktası aralığı, kaynak ve hedef, IPv4 ve IPv6, hazır ayarlar ve varsayılan kurallar.
Güvenlik grubu kuralı, tek bir yönde tek bir tür trafiğe izin verir. Bir bağlantı noktasındaki herhangi bir grubun kuralıyla eşleşen trafiğe izin verilir. Bağlantı noktasına gelen ve bağlantı noktasından giden diğer tüm trafik düşürülür.
Her kuralın şu öğeleri vardır:
| Öğe | Değerler |
|---|---|
| Yön | Bağlantı noktasına gelen trafik için Gelen, bağlantı noktasından çıkan trafik için Giden. |
| IP sürümü | IPv4 veya IPv6. |
| Protokol | TCP, UDP, ICMP veya Tümü. |
| Bağlantı noktaları | TCP ve UDP için: tek bir bağlantı noktası, bir aralık veya tüm bağlantı noktaları. |
| Uzak uç | Bir adres bloğu veya bir güvenlik grubu. Gelen kuralın kaynağı, giden kuralın hedefidir. |
| Açıklama | İsteğe bağlı metin. |
Bir grubun sayfasında kural tabloları bu öğeleri IP sürümü, Port aralığı, Protokol, Kaynak / hedef ve Açıklama sütunlarında gösterir. Her kuralın İşlem sütununda İzin ver yazar.
Yön
Gelen kural, belirttiği kaynaklardan içeri trafik girmesine izin verir. Giden kural, belirttiği hedeflere dışarı trafik çıkmasına izin verir. Örneğin 203.0.113.10/32 kaynağından TCP 22 numaralı bağlantı noktası için bir gelen kural, tek bir ofis bilgisayarının sanal makineye SSH bağlantıları açmasına izin verir.
Durum bilgili filtreleme
Güvenlik grupları durum bilgilidir. Bir kural bir bağlantıya izin verdiğinde, diğer yön için kurallar ne derse desin o bağlantının yanıtlarına otomatik olarak izin verilir. Kuralları, bağlantıların başladığı yön için yazarsınız:
0.0.0.0/0kaynağından TCP 443 numaralı bağlantı noktası için bir gelen kural, istemcilerin bir web sunucusuna bağlanmasını sağlar. Sunucunun yanıtları için giden kural gerekmez.0.0.0.0/0hedefine bir giden kural, sanal makinenin güncellemeleri indirmesini sağlar. İndirmeler için gelen kural gerekmez.
Yalnızca izin veren kurallar
Kurallar yalnızca trafiğe izin verir. Reddetme kuralı yoktur: hiçbir kuralın izin vermediği trafik düşürülür. Bir grubun Genel bakış sekmesi bunu Varsayılan eylem: Reddet (örtük) olarak gösterir.
Bir bağlantı noktasının birden çok grubu olduğunda kuralları birbirine eklenir. Bir bağlantı noktasının kabul ettiği trafiği daraltmak için kuralları kaldırın veya grupları ayırın; grup eklemek yalnızca daha fazlasına izin verebilir.
Protokoller ve bağlantı noktaları
| Protokol | Bağlantı noktaları |
|---|---|
| TCP ve UDP | 22 gibi tek bir bağlantı noktası; 8000–8080 gibi bir aralık ya da Tüm bağlantı noktaları. Bağlantı noktaları 1 ile 65535 arasındadır ve bir aralığın ilk bağlantı noktası sonuncusundan büyük olamaz. |
| ICMP | Bağlantı noktası yok. Kural, ping gibi ICMP trafiğiyle eşleşir. |
| Tümü | Bağlantı noktası yok. Kural her protokol ve bağlantı noktasıyla eşleşir. |
Kaynak ve hedef
Bir kuralın uzak ucu şunlardan biridir:
- Adres bloğu.
203.0.113.0/24gibi bir IPv4 veya IPv6 adresi ya da bloğu.0.0.0.0/0her IPv4 adresiyle,::/0her IPv6 adresiyle eşleşir. IP'm seçeneği geçerli genel adresinizi IPv4 için /32, IPv6 için /128 bloğu olarak doldurur. - Güvenlik grubu. Kural, seçilen grubu kullanan her bağlantı noktasının trafiğiyle eşleşir. Grubun kendi üyeleri arasındaki trafiğe izin vermek için aynı grubu seçin. Bir grubun sayfasında kural eklerken veya düzenlerken uzak uç olarak bir grup seçebilirsiniz; oluşturma formu yalnızca adres bloklarını kabul eder.
Örneğin app-sg grubundan TCP 5432 numaralı bağlantı noktası için gelen kuralı olan db-sg veritabanı grubu, adresleri ne olursa olsun app-sg grubundaki uygulama sunucularından gelen veritabanı bağlantılarını kabul eder.
Bir kural tam olarak bir uzak uç belirtir. Grubun mevcut bir kuralının aynısı olan bir kural ikinci kez eklenmez.
IPv4 ve IPv6
Bir kuralın IP sürümü, adres bloğunun ailesiyle eşleşmelidir: IPv4 bloğu için IPv4, IPv6 bloğu için IPv6. Bir grubun sayfasında kural eklerken IP sürümünü her satırda seçersiniz. Grup oluştururken her kuralın IP sürümü kaynağına göre belirlenir; bu nedenle ::/0 gibi bir kaynak bir IPv6 kuralı oluşturur.
Bir hizmete her iki adres ailesinde de izin vermek için her aileye bir kural ekleyin; örneğin 0.0.0.0/0 kaynağından HTTPS ve ::/0 kaynağından HTTPS.
Varsayılan kurallar
Her yeni güvenlik grubu, tüm giden trafiğe izin veren iki giden kural alır: biri 0.0.0.0/0 hedefine IPv4 için, diğeri ::/0 hedefine IPv6 için. Bunları diğer kurallar gibi düzenleyebilir veya silebilirsiniz. Giden trafiğe izin veren bir giden kural yoksa giden trafik düşürülür.
Yeni bir grupta yalnızca sizin eklediğiniz gelen kurallar bulunur.
Varsayılan güvenlik grubu
Her projede bulutun oluşturduğu default adlı bir güvenlik grubu vardır. Bu grup güvenlik grupları listesinde görünür; kurallarını görmek ve değiştirmek için açabilirsiniz. Grup seçmeden bir sanal makine veya bağlantı noktası oluşturduğunuzda kullanılır ve silinemez.
Hazır ayarlar
Kural düzenleyicide yaygın hizmetler için hazır ayarlar bulunur. Her biri, protokolü ve bağlantı noktası doldurulmuş, düzenlenebilir bir satır ekler. Kaynak boş kalır: kaydetmeden önce siz girersiniz.
| Hazır ayar | Protokol | Bağlantı noktası |
|---|---|---|
| SSH | TCP | 22 |
| HTTP | TCP | 80 |
| HTTPS | TCP | 443 |
| MySQL | TCP | 3306 |
| PostgreSQL | TCP | 5432 |
| RDP | TCP | 3389 |
| DNS | UDP | 53 |
| Ping | ICMP | — |
| Tüm trafik | Tümü | Tüm bağlantı noktaları |
Sanal makine oluşturma sihirbazının, yeni sanal makine için bir güvenlik grubu oluşturan kendi hazır kuralları vardır. Bkz. sihirbazın Ağ adımı.
Hassas bağlantı noktaları
Bir gelen kural bu TCP bağlantı noktalarından birini tüm internete, yani 0.0.0.0/0 veya ::/0 kaynağına açtığında kural düzenleyici sizi uyarır:
| Hizmet | Bağlantı noktası |
|---|---|
| SSH | 22 |
| Telnet | 23 |
| RDP | 3389 |
| VNC | 5900 |
| MySQL | 3306 |
| PostgreSQL | 5432 |
| MSSQL | 1433 |
| MongoDB | 27017 |
| Redis | 6379 |
Protokolü Tümü olan ya da tüm bağlantı noktaları için yazılmış bir kural bunların hepsini kapsar. Uyarı, kuralı kaydetmenizi engellemez. Erişimi yalnızca kendinizle sınırlamak için kaynak olarak IP'm seçeneğini kullanın.