Amazon Web ServicesCloud

【AWS】VPC 系列 安全组和网络 ACL 应该怎么选？

Posted Cola🌀

前言

VPC 提供了安全组和网络 ACL来控制流量的流动。二者具有相似的功能，于是很多人都会有一个疑问，究竟应该使用安全组还是应该使用网络 ACL？本文会介绍这二者的异同，帮助你做出合理的选型。

安全组

安全组充当虚拟防火墙，控制允许到达和离开与其关联的资源的流量。例如，在将安全组与 EC2 实例关联后，它将控制该实例的入站和出站流量。-摘自 AWS 官方文档

用过 Windows 的小伙伴可能都知道防火墙，它允许你控制哪些流量可以流入计算机，以及哪些流量可以流出。安全组就是这样一个防火墙，它可以被关联到 VPC 内的实例（如 EC2）。关联后，这台 EC2 就有了类似 Windows 中那样的防火墙。所以可以粗暴地认为安全组就是实例的防火墙。

对于每个安全组，你都可以添加若干入站规则和出站规则。

入站规则

入站规则描述了什么样的流量可以流入实例，例如下方的入站规则允许任意一个 IP 地址通过 HTTPS 协议访问实例。

源 0.0.0.0/0 表示任意一个 IP 地址，即允许来自所有 IP 地址的流量进入。HTTPS 运行在 TCP 协议的 443 端口之上，据此设置协议类型和端口号。下图表示了该入站规则。

出站规则

出站规则描述了什么样的流量可以流出实例，例如下方的出站规则允许实例将流量发送到任何地方。

和入站规则一样，0.0.0.0/0 表示任意一个 IP 地址，即允许流量流出到任何地方。由于客户端通常会使用一个随机的端口接收服务器的响应，因此该出站规则的端口范围是 All，这样才能覆盖客户端所有的随机端口。下图表示了该出站规则。

需要注意的是，源和目的地不仅可以是 IP 地址，也可以是另一个安全组。

连接跟踪

安全组使用连接跟踪来跟踪有关进出实例的流量的信息。安全组将基于流量的连接状态应用规则以确定允许还是拒绝流量。有了这种方法，安全组就具有状态。这意味着无论出站安全组规则如何都允许对入站流量的响应流出实例，反之亦然。 -摘自 AWS 官方文档

官方文档对连接跟踪的描述比较晦涩难懂，简单来说连接跟踪有助于简化请求响应模式的出入站规则配置。请求响应模式常见于网络传输协议（如 HTTP），客户端向服务器发起一个请求，服务器将响应返回给客户端，请求和响应总是成对出现。借助安全组的连接跟踪特性，可以实现如下两个效果。

1.如果从源发来的请求流量通过了入站规则进入实例，则随后的响应流量在出站时会忽略出站规则直接流出。

2.如果从实例发出的请求流量通过了出站规则流出实例，则随后的响应流量在入站时会忽略入站规则直接流入。

未跟踪的连接

并不是所有的连接都会被跟踪（有状态）。如果有一个安全组规则允许所有通信（0.0.0.0/0 或 ::/0）的 TCP 或 UDP 流，而另一个方向上存在一个对应的规则允许所有端口（0-65535）的所有响应通信（0.0.0.0/0 或 ::/0），则不会跟踪该通信流。下边的例子展示了其中的一些规律。

入站规则

出站规则

  • 将会跟踪端口 22（SSH）上流入和流出实例的 TCP 流量，因为入站规则只允许来自 203.0.113.1/32 的流量，而不是所有 IP 地址（0.0.0.0/0）。
  • 不会跟踪端口 80（HTTP）上流入和流出实例的 TCP 流量，因为入站和出站规则都允许所有流量（0.0.0.0/0 或 ::/0）。
  • 无论规则如何，始终跟踪 ICMP 流量，因为不是 TCP 或 UDP 协议。
  • 如果您从安全组删除出站规则，则将跟踪往返于实例上的所有流量，包括端口 80（HTTP）上的流量，因为出站规则不再允许所有 IP 地址。

网络 ACL

网络访问控制列表（ACL）是 VPC 的一个可选安全层，可用作防火墙来控制进出一个或多个子网的流量。你可以设置网络 ACL，使其规则与你的安全组相似，以便为你的 VPC 添加额外安全层。-摘自 AWS 官方文档

网络 ACL 和安全组极为相似，都可作为防火墙控制流量的进出，且工作在子网级别。因此可以粗暴地认为网络 ACL 是子网的防火墙。下文会先介绍网络 ACL 特有的功能，随后对比网络 ACL 和安全组之间的不同之处。

可设置拒绝规则

安全组使用白名单模式设置规则，每条规则都表示允许某种流量通过。而网络 ACL 还支持黑名单模式，可以设置拒绝哪些流量通过。例如下边的入站规则：

该入站规则表示拒绝所有 SSH 流量的流入，但是允许其余所有流量。由于同时存在允许和拒绝两种规则，因此允许和拒绝规则间可能会存在冲突。例如某流量在规则 1 中被允许，但在规则 2 中被拒绝。

为了解决这种冲突，网络 ACL 按照规则编号由小到大逐个尝试。如果流量遇到了适用的规则，则应用该规则，并停止尝试后续规则。

安全组与网络 ACL 的差异

如上文所述，网络 ACL 只比安全组多了黑名单模式，即拒绝规则。本节会介绍安全组和网络 ACL 之间的差异。

二者最主要的差别是安全组作用于实例（如 EC2），因此每个实例都可以配置不同的安全组。而网络 ACL 作用于子网，相当于是给子网装了一个防火墙，子网内的所有资源都会被网络 ACL 保护。

最佳实践

由于安全组和网络 ACL 都能提供流量控制功能，理论上只用二者之一就可以保护 VPC 的安全。但是最佳实践还是二者结合使用，为 VPC 提供更全面的防护。

  • 同时使用安全组和网络 ACL 相当于加了双重保险，如果你不小心误设了其中之一，另外一层保护依然能确保 VPC 的安全。
  • 安全组作用于实例，因此安全组适合针对不同实例的精细化配置；网络 ACL 作用于子网，适合针对子网内所有实例的通用配置。
  • 如果组织内有专门管理网络的团队，则该团队适合使用网络 ACL；研发或运维团队则负责实例级的安全组配置。