正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
会对子网生效。 流量匹配安全组和网络ACL 规则的顺序 当安全组和网络ACL同时存在时,流量优先匹配网络ACL的规则,然后匹配安全组规则。如图2所示,以入方向流量为例,为您详细介绍安全组和网络ACL规则的匹配顺序。 流量优先匹配网络ACL规则: 当流量未匹配上任何自定义网络ACL
能对业务造成的影响。 流量镜像匹配规则 根据流量镜像的匹配规则,当同一个镜像源的同一个报文同时符合多个筛选条件规则时,该报文也仅会被匹配一次,匹配原则详细说明如下: 表3 流量镜像匹配规则 匹配原则 说明 顺序匹配 根据优先级从高到低按顺序进行匹配。优先级的数字越小,优先级越高,比如1的优先级高于2。
访问镜像源的测试ECS的地址,本示例为ECS-test的私有IP地址: 192.168.0.161/32 针对IPv4,允许来自ECS-test的TCP协议报文访问镜像源ECS-source的1234端口。 入方向 允许 IPv4 UDP: 1235 访问镜像源的测试ECS的地址
CS为例,当安全组检测到SSH请求后,会检查发送请求的设备IP地址、登录所需的22端口是否已在安全组入方向中被放行,只有和安全组入方向规则匹配成功,该请求才会被放行,否则无法建立数据通信。 表1中提供了部分运营商判断的高危端口,这些端口默认被屏蔽。即使您已经添加安全组规则放通了这
容器迁移到其他弹性云服务器后,需要在VPC路由表中添加新的路由信息。 添加安全组规则。 为了能够通过traceroute命令和ping命令测试容器网络是否连通,为弹性云服务器的安全组添加如表1所示规则,开放ICMP和UDP规则。 具体操作请参见添加安全组规则。 表1 安全组规则 方向
如果“策略”设置为允许,表示允许成功匹配规则的流量流入或者流出子网。 如果“策略”设置为拒绝,表示拒绝成功匹配规则的流量流入或者流出子网。 允许 协议 网络ACL规则中用来匹配流量的网络协议类型,支持TCP、UDP、ICMP协议。 TCP 源地址 源地址用来匹配流量的来源网址,支持以下格式:
用特定路由,则可以参考以下操作将子网关联至自定义路由表。 如果将子网关联至自定义路由表,那么自定义路由表仅影响子网的出流量走向,入流量仍然匹配默认路由表。 路由表和子网关联后,该路由表的路由规则将对该子网生效,子网下的云资源将启用新的路由规则,请确认对业务造成的影响,谨慎操作。 约束与限制
络ACL保护。 更多信息请参见网络ACL简介。 相比安全组,网络ACL的防护范围更大。当安全组和网络ACL同时存在时,流量优先匹配网络ACL规则,然后匹配安全组规则。 更多信息请参见VPC访问控制简介。 VPC的网络连接 您可以使用VPC和云上的其他网络服务,基于您的业务诉求,构建不同功能的组网。
新建立的连接,将会匹配新的网络ACL出方向规则。 对于已建立的长连接,流量断开后,不会立即建立新的连接,需要超过连接跟踪的老化时间后,才会新建立连接并匹配新的规则。比如,对于已建立的ICMP协议长连接,当流量中断后,需要超过老化时间30s后,将会新建立连接并匹配新的规则,详细说明如下:
2中的规则均已正确添加即可。 如果ECS属于不同的安全组,则除了分别在不同安全组配置表2中的规则外,还需要添加以下规则: 如果访问镜像源的测试ECS和镜像源ECS属于不同安全组,比如ECS-test属于Sg-X,ECS-source属于Sg-A,则需要在Sg-A中额外添加表3中的规则,允许ECS-test的流量进入。
确认对等连接涉及的子网流量未被网络ACL拦截,否则需要放通对等连接涉及的网络ACL规则。 对于多网卡的云服务器,检查云服务器内部的策略路由配置,确保源IP不同的报文匹配各自的路由,从各自所在的网卡发出。 假设云服务器有两个网卡为eth0和eth1: eth0的IP地址为192.168.1.10,所在子网的网关为192
络ACL保护。 更多信息请参见网络ACL简介。 相比安全组,网络ACL的防护范围更大。当安全组和网络ACL同时存在时,流量优先匹配网络ACL规则,然后匹配安全组规则。 更多信息请参见VPC访问控制简介。 VPC的网络连接 您可以使用VPC和云上的其他网络服务,基于您的业务诉求,构建不同功能的组网。
部署周期 用户无需工程规划,布线等复杂工程部署的工作。 用户基于业务需求在华为云上自主规划私有网络、子网和路由。 用户需要自行搭建网络并进行测试,整个周期很长,而且需要专业技术支持。 总成本 华为云网络服务提供了多种灵活的计费方式,加上客户无需前期投入和后期网络运维,整体上降低了TCO。
同一个账号在同一个区域内的镜像会话优先级不能重复。 同一个镜像源可同时被关联至多个镜像会话,此时根据镜像会话的优先级,按照从小到大的顺序匹配。 镜像会话的匹配规则请参见镜像会话的匹配规则。 1 VXLAN网络标识 可选参数。 VXLAN网络标识(VXLAN Network Identifier),简
安全组规则匹配流量时,首先按照优先级进行排序,其次按照策略排序,拒绝策略高于允许策略,更多信息请参见流量匹配安全组规则的顺序。 允许 协议端口 安全组规则中用来匹配流量的网络协议类型,目前支持TCP、UDP、ICMP和GRE协议。 TCP 安全组规则中用来匹配流量的目的端口,取值范围为:1~65535。
重叠,因此添加路由时,可以使用路由的最长匹配原则,控制流量的转发路径。 资源规划详情,请参见表5。 对等连接关系,请参见表6。 图2 一个中心VPC通过最长匹配原则与两个VPC对等(IPv4) 表5 资源规划详情-一个中心VPC通过最长匹配原则与两个VPC对等(IPv4) VPC名称
同一个账号在同一个区域内的镜像会话优先级不能重复。 同一个镜像源可同时被关联至多个镜像会话,此时根据镜像会话的优先级,按照从小到大的顺序匹配。 镜像会话的匹配规则请参见镜像会话的匹配规则。 1 VXLAN网络标识 可选参数。 VXLAN网络标识(VXLAN Network Identifier),简
将总条数返回即可。 matches Array of match objects 否 搜索字段,key为要匹配的字段,当前仅支持resource_name。value为匹配的值。此字段为固定字典值。 表3 tag字段数据结构说明 名称 是否必选 参数类型 说明 key 是 String
(HTTP)协议访问Subnet-X01内实例的80端口。如果流量未匹配上自定义规则,则匹配默认规则,无法流入子网。网络ACL是有状态的,允许入站请求的响应流量出站,不受规则限制,因此Subnet-X01内实例的响应流量可流出子网。非响应流量的其他流量则匹配默认规则,无法流出子网。 · Fw-B的规则说
您无法在VPC路由表中添加目的地址相同的两条路由,即使路由的下一跳类型不同也不行。因此不论路由的下一跳是何种类型,路由的优先级均取决于目的地址,遵循最长匹配原则,即优先选择匹配度更高的目的地址进行路由转发。 表1 下一跳类型 下一跳类型 说明 支持添加该类型路由的路由表 服务器实例 将指向目的地址的流量转发到虚拟私有云内的一台ECS实例。