虚拟私有云 VPC-通过安全组和网络ACL实现VPC的访问控制:控制不同子网内实例的互通和隔离

时间:2024-07-22 11:02:58

控制不同子网内实例的互通和隔离

本示例中,VPC-X内有两个子网Subnet-X01和Subnet-X02,E CS -01和ECS-02属于Subnet-X01,ECS-03属于Subnet-X02。三台ECS的网络通信需求如下:
  • ECS-02和ECS-03网络互通
  • ECS-01和ECS-03网络隔离
为了实现以上网络通信需求,本示例的安全组和网络ACL配置如下:
  1. 三台ECS属于同一个安全组Sg-A,在Sg-A中添加入方向和出方向规则,确保安全组内实例网络互通。

    此时子网还未关联网络ACL,安全组规则配置完成后,ECS-01、ECS-02均可以和ECS-03进行通信。

  2. 将两个子网均关联至网络ACL Fw-A。

    当Fw-A中只有默认规则时,同一个子网内实例网络互通,不同子网内实例网络隔离。此时ECS-01和ECS-02网络互通,ECS-01和ECS-03网络隔离、ECS-02和ECS-03网络隔离。

  3. 网络ACL Fw-A中添加自定义规则,放通ECS-02和ECS-03之间的网络。
    • 自定义规则A01:允许来自ECS-03的流量流入子网。
    • 自定义规则A02:允许来自ECS-02的流量流入子网。
    • 自定义规则A03:允许访问ECS-03的流量流出子网。
    • 自定义规则A04:允许访问ECS-02的流量流出子网。
图6 控制不同子网内实例的互通和隔离
support.huaweicloud.com/bestpractice-vpc/bestpractice_0005.html