tencent cloud

PrevNext

フィードバック

キーワードで検索してください

Recent Pages

ドキュメント
Cloud Virtual Machine
    ドキュメント
    Download PDF

    セキュリティグループの応用例

    最終更新日:2022-12-26 10:41:53
    PDFファイルをダウンロード
      セキュリティグループの設定は、Cloud Virtual Machines（CVM）へのアクセスを管理するために使用され、セキュリティグループのインバウンドとアウトバウンドルールを設定することにより、お客様のCVMにアクセスできるかまたは他のネットワークリソースにアクセスできるかどうかを設定できます。 デフォルトでは、セキュリティグループのインバウンドとアウトバウンドルールは次のとおりです。
      データセキュリティのため、セキュリティグループのインバウンドルールは拒否ポリシーであり、外部ネットワークへのリモートアクセスを禁止します。CVMに外部からアクセスする必要がある場合は、対応するポートのインバウンドルールを許可にする必要があります。
      セキュリティグループのアウトバウンドルールは、お客様のCVMが外部ネットワークリソースにアクセスできるかどうかを設定するために用います。「すべてのポートを開放する」または「ポート22、80、443、3389を開放し、ICMPプロトコルを許可する」を選択した場合、セキュリティグループのアウトバウンドルールはすべてのポートを開放します。カスタムセキュリティグループルールを選択した場合、アウトバウンドルールはデフォルトで「すべて拒否」となるので、対応するポートのアウトバウンドルールを許可にして、外部ネットワークリソースにアクセスできるようにする必要があります。

      一般的なユースケース

      このドキュメントでは、セキュリティグループのいくつかの一般的なユースケースを紹介します。以下のケースが要件を満たしている場合は、対応するユースケースの推奨設定に従ってセキュリティグループを直接設定できます。

      シナリオ１：SSH経由でLinux CVMにリモート接続する

      事例：Linux CVMを作成し、SSH経由でCVMにリモート接続したい場合。 解決策：セキュリティグループルールの追加 を行うときに、「タイプ」で「Linuxログイン」を選択し、ソースがWebShellプロキシIPであるプロトコルポート22を開放し、LinuxSSHログインを許可します。 また、実際のニーズに応じて、すべてのIPを解放するか、またはIP（IPセグメント）を指定して、SSH経由でCVMにリモート接続できるIPソースを設定することもできます。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド方向
      Linuxログイン
      すべてのIP：0.0.0.0/0
      WebShellプロキシIP：詳細については、OrcatermプロキシIPアドレスの置き換えに関する通知 をご参照ください
      IPの指定：指定するIPまたはIPセグメントを入力します
      TCP:22
      許可

      シナリオ2：RDP経由でWindows CVMにリモート接続する

      事例：Windows CVMを作成し、RDP経由でCVMにリモート接続したい場合。 解決策：セキュリティグループルールの追加 を行うときに、「タイプ」で「Windowsログイン」を選択し、ソースがWebRDPプロキシIPのプロトコルポート3389を開放し、Windowsリモートログインを許可します。 また、実際のニーズに応じて、すべてのIPを解放するか、またはIP（IPセグメント）を指定して、RDP経由でCVMにリモート接続できるIPソースを設定することもできます。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド方向
      Windowsログイン
      すべてのIP：0.0.0.0/0
      WebRDPプロキシIP：
      81.69.102.0/24
      106.55.203.0/24
      101.33.121.0/24
      101.32.250.0/24
      IPの指定：指定するIPまたはIPセグメントを入力します
      TCP:3389
      許可

      シナリオ3：パブリックネットワークがCVMにpingできるようにする

      事例：CVMを構築し、このCVMと他のCVM間の通信ステータスが正常であるかどうかをテストしたい場合。 解決策：pingプログラムを使用してテストを行います。手順は、セキュリティグループルールの追加 を行うときに、「タイプ]で「Ping」を選択し、ICMPプロトコルポートを開放して、その他のCVMがICMPプロトコルを介してCVMにアクセスすることを許可します。 また、実際のニーズに応じて、すべてのIPを解放するか、またはIP（IPセグメント）を指定して、ICMPプロトコルを介したCVMへのアクセスを許可するIPソースを設定することもできます。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド
      Ping
      すべての IP：0.0.0.0/0
      IPを指定：指定したIPまたはIPセグメントを入力します
      ICMP
      許可

      シナリオ4：Telnetを介してCVMにリモートログイン

      事例：Telnetを介してCVMにリモートログインしたい場合。 解決策：Telnetを介してCVMにリモートログインする必要がある場合は、セキュリティグループルールの追加 を行うときに、以下のセキュリティグループのルールを設定する必要があります。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド方向
      カスタマイズ
      すべての IP：0.0.0.0/0
      IPを指定：指定したIPまたはIPセグメントを入力します
      TCP:23
      許可

      シナリオ5：HTTPまたはHTTPSを介してWebサービスへのアクセスを開く

      事例：お客様がウェブサイトを構築し、ユーザーにHTTPまたはHTTPSを介してお客様が構築したウェブサイトにアクセスしてほしい場合。 解決策：HTTPまたはHTTPSを介してCVMにアクセスする必要がある場合は、セキュリティグループルールの追加 を行うときに、実際のニーズに応じて以下のセキュリティグループのルールを設定する必要があります。
      パブリックネットワーク上のすべてのIPにこのウェブサイトへのアクセスを許可します
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド
      HTTP（80）
      0.0.0.0/0
      TCP:80
      許可
      インバウンド
      HTTPS（443）
      0.0.0.0/0
      TCP:443
      許可
      パブリックネットワークの一部のIPアドレスがこのウェブサイトへのアクセスを許可します。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド
      HTTP（80）
      ウェブサイトへのアクセスが許可されているIPアドレスまたはIPアドレスセグメント
      TCP:80
      許可
      インバウンド
      HTTPS（443）
      ウェブサイトへのアクセスが許可されているIPアドレスまたはIPアドレスセグメント
      TCP:443
      許可

      シナリオ6：外部IPが指定ポートにアクセスすることを許可する

      事例：業務をデプロイした後、指定されたサービスポート（例：1101）に外部からアクセスできるようにしたい場合。 解決策：セキュリティグループルールの追加 を行うときに、「タイプ」で「カスタム」を選択し、プロトコルポート1101を開放して、指定された業務ポートへの外部アクセスを許可します。 また、実際のニーズに応じて、すべてのIPを解放するか、またはIP（IPセグメント）を指定して、指定されたサービスポートのIPソースへのアクセスを許可することもできます。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド
      カスタマイズ
      すべてのIP：0.0.0.0/0
      IPを指定：指定したIPまたはIPセグメントを入力します
      TCP:1101
      許可

      シナリオ7：外部IPアドレスから指定したポートへのアクセスを拒否する

      事例：業務をデプロイした後、指定されたサービスポート（例：1102）に外部からアクセスされないようにしたい場合。 解決策：セキュリティグループルールの追加 を行うときに、「タイプ」で「カスタム」を選択し、プロトコルポート1102を構成し、「ポリシー」を「拒否」に設定して、指定されたサービスポートへの外部アクセスを拒否します。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド
      カスタマイズ
      すべてのIP：0.0.0.0/0
      IPを指定：指定したIPまたはIPセグメントを入力します
      TCP:1102
      拒否

      シナリオ8：CVMが特定の外部IPへのアクセスのみを許可

      事例：CVMが特定の外部IPアドレスのみアクセスできるようにします。 ソリューション：以下の設定を参照し、次の2つのアウトバンドのセキュリティグループルールを追加します。
      CVMインスタンスが特定の外部IPアドレスにアクセスできるようにします。
      インスタンスが任意のプロトコルを介してパブリックIPアドレスにアクセスすることを禁止します。
      ご注意：
      アクセスを許可するルールは、アクセスを拒否するルールより優先する必要があります。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      アウトバンド
      カスタマイズ
      CVMがアクセスできる特定のパブリックIPアドレス
      必要なプロトコルとポート
      許可
      アウトバンド
      カスタマイズ
      0.0.0.0/0
      ALL
      拒否

      シナリオ9：CVMが特定の外部IPにアクセスすることを拒否する

      事例：CVMが外部の特定のIPアドレスにアクセスできないようにします。 解決策：次の構成を参照して、セキュリティグループルールを追加してください。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      アウトバンド
      カスタマイズ
      インスタンスからのアクセスを拒否する特定のパブリックIPアドレス
      ALL
      拒否

      シナリオ10：FTPを使用してファイルをアップロードまたはダウンロードする

      事例：FTPソフトウェアを利用して、CVMにファイルをアップロードまたはダウンロードする場合。 解決策：次の構成を参照して、セキュリティグループルールを追加してください。
      方向
      タイプ
      ソース
      プロトコルポート
      ポリシー
      インバウンド
      カスタマイズ
      0.0.0.0/0
      TCP:20-21
      許可

      複数シーンの組み合わせ

      実際のシナリオでは、業務ニーズに応じて複数のセキュリティグループルールを設定する必要がある可能性があります。例えば、インバウンドルールまたはアウトバウンドルールを同時に設定します。CVM1台は、1つまたは複数のセキュリティグループにバインドできます。CVMが複数のセキュリティグループにバインドされている場合、複数のセキュリティグループが上から下に順番にマッチングが実行されます。セキュリティグループの優先度はいつでも変更できます。セキュリティグループルールの優先度の説明については、ルールの優先度の説明 をご参照ください。
      お問い合わせ

      カスタマーサービスをご提供できるため、ぜひお気軽にお問い合わせくださいませ。

      お問い合わせ
      テクニカルサポート

      さらにサポートが必要な場合は、サポートチケットを送信して弊社サポートチームにお問い合わせください。24時間365日のサポートをご提供します。

      チケットを送信
      電話サポート（24 時間365日対応）
      Copyright © 2013-2024 Tencent Cloud. All Rights Reserved.
      個人情報保護方針利用規約クッキーポリシー