設(shè)置安全組規(guī)則
云原生網(wǎng)關(guān)和后端服務(wù)所在的節(jié)點分別處于不同安全組內(nèi)。您可以通過設(shè)置安全組規(guī)則為云原生網(wǎng)關(guān)授予訪問后端服務(wù)的權(quán)限。
背景信息
安全組是一種虛擬防火墻，用于控制安全組內(nèi)ECS實例和ENI網(wǎng)卡的入流量和出流量，從而提高ECS實例的安全性。安全組具備狀態(tài)檢測和數(shù)據(jù)包過濾能力，您可以基于安全組的特性和安全組規(guī)則的配置在云端劃分安全域，詳情請參見安全組概述。
您在購買云原生網(wǎng)關(guān)時需要選擇VPC和安全組類型（建議與后端服務(wù)所在安全組類型一致），根據(jù)您選擇的安全組類型，云原生網(wǎng)關(guān)會創(chuàng)建相應(yīng)托管安全組管理網(wǎng)關(guān)的實例節(jié)點。因為云原生網(wǎng)關(guān)和后端服務(wù)所在的節(jié)點分別處于不同安全組內(nèi)，需要您在后端服務(wù)的安全組內(nèi)為云原生網(wǎng)關(guān)授予必要的端口范圍訪問權(quán)限。
步驟一：獲取目標(biāo)服務(wù)所在節(jié)點的安全組
云原生網(wǎng)關(guān)關(guān)聯(lián)的上游服務(wù)，主要包括容器部署和ECS部署。您可以通過以下方式獲取安全組ID。
目標(biāo)服務(wù)部署在容器服務(wù)ack中
登錄容器服務(wù)管理控制臺，在左側(cè)導(dǎo)航欄選擇集群。
在集群列表頁面，單擊目標(biāo)集群名稱，然后在左側(cè)導(dǎo)航欄，選擇。
在節(jié)點池頁面，單擊對應(yīng)的節(jié)點，然后單擊基本信息頁簽，獲取安全組的ID。
目標(biāo)服務(wù)部署在ECS上
登錄ECS管理控制臺。
在左側(cè)導(dǎo)航欄，選擇。
在實例頁面，單擊目標(biāo)服務(wù)所部署的ECS實例，然后單擊安全組頁簽，獲取安全組的ID。
步驟二：添加安全組授權(quán)規(guī)則
在左側(cè)導(dǎo)航欄，選擇云原生網(wǎng)關(guān) > 網(wǎng)關(guān)列表，并在頂部菜單欄選擇地域。
在網(wǎng)關(guān)列表頁面，單擊目標(biāo)網(wǎng)關(guān)名稱。在左側(cè)導(dǎo)航欄單擊基本概覽，然后單擊安全組授權(quán)頁簽。
單擊授權(quán)安全組，在SecurityGroup ID列的文本框中，粘貼步驟一中獲取的安全組ID，選擇相應(yīng)的安全組。
輸入安全組授權(quán)的端口范圍：起始值/終止值。
可以輸入多個端口范圍，每輸入一個端口范圍單擊回車，即可生效。
單擊保存。
云原生網(wǎng)關(guān)會生成對應(yīng)的規(guī)則。
同時目標(biāo)節(jié)點所在的安全組中也會看到在云原生網(wǎng)關(guān)創(chuàng)建的安全組規(guī)則。
刪除安全組授權(quán)規(guī)則
在左側(cè)導(dǎo)航欄，選擇云原生網(wǎng)關(guān) > 網(wǎng)關(guān)列表，并在頂部菜單欄選擇地域。
在網(wǎng)關(guān)列表頁面，單擊目標(biāo)網(wǎng)關(guān)名稱。
在左側(cè)導(dǎo)航欄基本概覽，單擊授權(quán)安全組頁簽，然后單擊操作列下方的刪除，單擊確定。
默認(rèn)只刪除云原生網(wǎng)關(guān)的安全組規(guī)則，如需將目標(biāo)節(jié)點所在安全組的規(guī)則一并刪除，您還需要勾選級聯(lián)刪除該安全組內(nèi)的上述入方向規(guī)則。
常見問題
問題一：安全組已經(jīng)授權(quán)，為什么服務(wù)還是訪問不通？
您可以按照如下步驟自助排查：
首先需要確認(rèn)您的目標(biāo)服務(wù)所部署的節(jié)點是否正確。
有可能存在服務(wù)部署在了A節(jié)點上，但是給B節(jié)點所在的安全組授權(quán)。
您的目標(biāo)節(jié)點是否設(shè)置了多個安全組。
如果是多個安全組，建議給每個安全組都授權(quán)。
問題二：安全組已經(jīng)授權(quán)，之前網(wǎng)關(guān)訪問服務(wù)是通的，現(xiàn)在突然間不通了，是什么原因？
您可以按照如下步驟自助排查：
首先確認(rèn)您的服務(wù)本身沒有問題。
您可以對同一安全組內(nèi)的其他節(jié)點使用
curl命令檢查服務(wù)的連通性。確認(rèn)您發(fā)布的服務(wù)對外暴露的端口是否有變更。
例如以前端口為8080，在云原生網(wǎng)關(guān)只給8080端口授權(quán)了，之后又將端口變更為8081，這時需要重新調(diào)整云安全組授權(quán)規(guī)則端口。為了避免這種情況發(fā)生，建議您在配置安全組授權(quán)時擴大端口范圍，可以將范圍選成1/65535。