检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
安全组资源标签管理 查询安全组资源实例 批量创建安全组资源标签 批量删除安全组资源标签 查询安全组资源标签 创建安全组资源标签 删除安全组资源标签 查询安全组项目标签 父主题： API
类型 说明 id String 安全组规则id 使用说明：查询安全组规则非必选 description String 安全组规则描述 security_group_id String 所属安全组id remote_group_id String 所属安全组的对端id direction
安全组（Openstack Neutron API） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 查询安全组 GET /v2.0/security-groups vpc:securityGroups:get
安全组（API V3） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 创建安全组 POST /v3/{project_id}/vpc/security-groups vpc:securityGroups:create
审计与日志 审计 云审计服务，是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务后，CTS可记录VPC的操作事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。
无法访问华为云ECS的某些端口时怎么办？ 添加安全组规则时，需要您指定通信所需的端口或者端口范围，然后安全组根据规则，决定允许或是拒绝相关流量转发至ECS实例。 表1中提供了部分运营商判断的高危端口，这些端口默认被屏蔽。即使您已经添加安全组规则放通了这些端口，在受限区域仍然无法访问
安全组规则（API V3） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 创建安全组规则 POST /v3/{project_id}/vpc/security-group-rules vpc:secu
创建安全组、删除安全组、添加安全组规则、快速添加多条安全组规则、复制安全组规则、修改安全组规则、删除安全组规则、导入/导出安全组规则、查看弹性云服务器的安全组、变更弹性云服务器的安全组、云资源加入/移出安全组等。 用户可以在安全组中定义各种访问规则，当弹性云服务器加入该安全组后，即受到这些访问规则的保护。
ECS常用端口 添加安全组规则时，需要您指定通信所需的端口或者端口范围，然后安全组根据策略，决定允许或是拒绝相关流量转发至ECS实例。以通过SSH方式远程登录ECS为例，当安全组检测到SSH请求后，会检查发送请求的设备IP地址、登录所需的22端口是否已在安全组入方向中被放行，只有和安全组入方向
情页。 在“关联安全组”页签下，单击“更改安全组”。 在“更改安全组”页面勾选需要关联的安全组，单击“确定”，完成更改。 更多操作 您可以在弹性网卡详情页的“关联安全组”页签下，单击安全组所在行的“配置规则”按钮，对安全组规则进行配置。配置安全组规则请参见添加安全组规则。 父主题：
安全组规则icmp协议名称对应关系表 icmp type port_range_min port_range_max Any NULL NULL Echo 8 0 Echo reply 0 0 Fragment need DF set 3 4 Host redirect 5 1 Host
网络ACL配置示例 网络ACL可以控制流入/流出子网的流量，当网络ACL和安全组同时存在时，流量先匹配网络ACL规则，然后匹配安全组规则。您可以灵活调整安全组的规则，并使用网络ACL作为子网的额外防护。以下为您提供了典型的网络ACL应用示例。 拒绝外部访问子网内实例的指定端口 拒绝外部指定IP地址访问子网内实例
那么IP地址组对应的安全组规则将会随之变更，无需修改每个安全组内的规则，降低了安全组管理的难度，提升效率。 方案架构 本示例中，用户根据不同的安全要求，将实例划分在三个安全组内，同时，这些实例均需要允许特定IP地址访问SSH(22)端口，为了方便维护，采用IP地址组方案。 创建一个IP地址组，并添加待授权的IP地址。
辅助弹性网卡，每个辅助弹性网卡拥有不同的私网IP、弹性公网IP，可以分别承载云服务器实例的内网、外网和管理网流量。 辅助弹性网卡可配置独立安全组策略，从而实现网络隔离与业务流量分离。 辅助弹性网卡通过VLAN子接口挂载在弹性网卡上，其组网示意图如图1所示，云服务器的主网卡和扩展网卡均支持挂载辅助弹性网卡。
25端口连接外部地址。例如，运行Telnet smtp.***.com 25，该命令执行失败。 问题原因 为了提升华为云IP地址发邮件的质量，基于安全考虑，TCP 25端口出方向默认被封禁，无法使用TCP 25端口连接外部地址。 如果没有在云上部署邮件服务的需求，该限制不会影响您的服务。
录所属的ECS，则需要执行以下操作，放通辅助弹性网卡的SSH(22)端口。 在辅助弹性网卡所在安全组中，添加入方向规则放通SSH(22)端口。 具体方法请参见添加安全组规则。 表4 安全组规则（放通SSH(22)端口） 方向 优先级 策略 类型 协议端口 源地址 入方向 1 允许
辅助弹性网卡，每个辅助弹性网卡拥有不同的私网IP、弹性公网IP，可以分别承载云服务器实例的内网、外网和管理网流量。 辅助弹性网卡可配置独立安全组策略，从而实现网络隔离与业务流量分离。 辅助弹性网卡使用方法 创建辅助弹性网卡 将辅助弹性网卡和弹性公网IP绑定/解绑定 父主题： 基本概念
虚拟私有云支持用户自主配置和管理虚拟网络环境，您可以在VPC中使用安全组及网络ACL来进行网络访问控制，也可以使用第三方防火墙软件，对云上的业务进行灵活的安全控制。 本文为您介绍通过防火墙软件实现VPC内流量安全管控的需求，首先基于VPC对等连接实现多个VPC网络互通，然后VPC之间互访流量通过防火墙软件过滤清洗。
当添加了拒绝特定IP地址访问的规则时，可以将允许所有IP访问的规则放至最后，拒绝特定IP地址访问的规则将生效。具体操作请参见添加网络ACL规则（自定义生效顺序）。 父主题： 安全类
的第三方防火墙，对云上的业务进行灵活的安全控制。 本文以用户同区域的多VPC与本地IDC连通为例，介绍混合云使用第三方防火墙的应用场景。 方案优势 支持用户的第三方防火墙。 用户云上云下流量经过第三方防火墙。 支持用户自定义的更加灵活的安全策略。 典型拓扑 假设用户业务部署在VP
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
