tencent cloud

PrevNext

피드백

키워드를 검색하세요

Recent Pages

문서
Cloud Virtual Machine
    문서
    Download PDF

    보안 그룹 응용 사례

    마지막 업데이트 시간:2024-02-02 10:47:09
    PDF 다운로드
      보안 그룹의 설정은 CVM의 액세스 가능 여부를 관리하는 데 사용됩니다. 보안 그룹의 인바운드 및 아웃바운드 규칙 설정을 통해 사용자 서버의 액세스 가능 여부 및 기타 네트워크 리소스의 액세스 가능 여부를 설정할 수 있습니다. 기본적으로 보안 그룹의 인바운드 규칙과 아웃바운드 규칙은 다음과 같습니다.
      데이터 보안을 위해 보안 그룹의 인바운드 규칙은 거부 정책이며, 외부 네트워크의 원격 액세스를 금지합니다. CVM 외부 액세스가 필요한 경우 해당 포트의 인바운드 규칙을 인터넷 개방해야 합니다.
      보안 그룹의 아웃바운드 규칙은 사용자 CVM의 외부 네트워크 리소스에 대한 액세스 가능 여부 설정에 사용됩니다. '전체 포트 인터넷 개방' 또는 '22, 80, 443, 3389 포트 및 ICMP 프로토콜 인터넷 개방'을 선택할 경우, 보안 그룹 아웃바운드 규칙은 인터넷에 전체 개방됩니다. 사용자 정의 보안 그룹 규칙을 선택할 경우, 아웃바운드 규칙은 기본적으로 전체 거부로 설정되며 해당 포트의 아웃바운드 규칙을 인터넷에 개방해야만 외부 네트워크 리소스에 액세스할 수 있습니다.

      일반적인 응용 시나리오

      본 문서는 일반적인 몇 개의 보안 그룹 응용 시나리오를 소개하였습니다. 다음 시나리오로 사용자의 수요를 충족시킬 경우, 바로 시나리오에서 권장하는 사양에 따라 보안 그룹을 설정할 수 있습니다.

      시나리오 1: SSH를 통한 Linux CVM 원격 연결 허용

      사례: 단일 Linux CVM 생성 후 SSH를 통해 CVM에 원격 연결이 필요한 경우 솔루션: 보안 그룹 규칙 추가 시 '유형'에서 'Linux 로그인'을 선택하고, 출처가 WebShell 프록시 IP인 22번 프로토콜 포트를 활성화하여 Linux SSH 로그인을 인터넷에 개방합니다. 실제 필요에 따라 전체 IP 또는 지정 IP(IP 대역)를 인터넷에 개방하고 SSH를 통해 CVM에 원격 연결할 수 있는 IP 출처를 설정할 수도 있습니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      Linux 로그인
      전체 IP: 0.0.0.0/0
      WebShell 프록시 IP: 자세한 내용은 Orcaterm 프록시 IP 주소 변경 공지를 참조하십시오.
      지정 IP: 사용자가 지정한 IP 또는 IP 대역 입력
      TCP:22
      허용

      시나리오 2: RDP를 통한 Windows CVM 원격 연결 허용

      사례: 단일 Windows CVM 생성 후 RDP를 통해 CVM에 원격 연결이 필요한 경우 솔루션: 보안 그룹 규칙 추가 시 '유형'에서 'Windows 로그인'을 선택하고, 출처가 WebRDP 프록시 IP인 3389번 프로토콜 포트를 활성화하여 Windows 원격 로그인을 인터넷에 개방합니다. 실제 필요에 따라 전체 IP 또는 지정 IP(IP 대역)를 인터넷에 개방하고 RDP를 통해 CVM에 원격 연결할 수 있는 IP 출처를 설정할 수도 있습니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      Windows 로그인
      전체 IP: 0.0.0.0/0
      WebRDP 프록시 IP:
      81.69.102.0/24
      106.55.203.0/24
      101.33.121.0/24
      101.32.250.0/24
      지정 IP: 사용자가 지정한 IP 또는 IP 대역 입력
      TCP:3389
      허용

      시나리오 3: 공용 네트워크 Ping 서버 허용

      사례: 단일 CVM 생성 후 해당 CVM과 기타 CVM 간 통신 상태의 정상 여부를 테스트해야 하는 경우 솔루션: ping 프로그램을 사용해 테스트를 진행합니다. 즉 보안 그룹 규칙 추가 시 '유형'을 'Ping'으로 선택하고 ICMP 프로토콜 포트를 활성화하여 기타 CVM이 ICMP 프로토콜을 통해 해당 CVM에 액세스하도록 허용합니다. 실제 필요에 따라 전체 IP 또는 지정 IP(IP 대역)를 인터넷에 개방하고 ICMP 프로토콜을 통해 해당 CVM에 액세스하는 IP 출처를 허용하도록 설정할 수도 있습니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      Ping
      전체 IP: 0.0.0.0/0
      지정 IP: 사용자가 지정한 IP 또는 IP 주소 대역 입력
      ICMP
      허용

      시나리오 4: Telnet 원격 로그인

      사례: Telnet을 통해 CVM에 원격 로그인해야 하는 경우 솔루션: Telnet을 통해 CVM에 원격 로그인해야 하는 경우 보안 그룹 규칙 추가 시, 다음의 보안 그룹 규칙을 설정해야 합니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      사용자 정의
      전체 IP: 0.0.0.0/0
      지정 IP: 사용자가 지정한 IP 또는 IP 주소 대역 입력
      TCP:23
      허용

      시나리오 5: 웹서비스 HTTP 또는 HTTPS 액세스 인터넷 개방

      사례: 웹 사이트 1개 구축 후, 다른 사용자가 HTTP 또는 HTTPS 방식으로 해당 웹 사이트에 액세스해야 할 경우 솔루션: HTTP 또는 HTTPS 방식으로 웹 사이트에 액세스해야 할 경우 보안 그룹 규칙 추가 시 실제 필요에 따라 보안 그룹 규칙을 다음과 같이 설정해야 합니다.
      공용 네트워크의 모든 IP가 해당 웹 사이트에 액세스하도록 허용
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      HTTP(80)
      0.0.0.0/0
      TCP:80
      허용
      인바운드
      HTTPS(443)
      0.0.0.0/0
      TCP:443
      허용
      공용 네트워크 상의 일부 IP가 해당 웹 사이트에 액세스하도록 허용
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      HTTP(80)
      사용자 웹 사이트에 액세스하는 IP 또는 IP 주소 대역 허용
      TCP:80
      허용
      인바운드
      HTTPS(443)
      사용자 웹 사이트에 액세스하는 IP 또는 IP 주소 대역 허용
      TCP:443
      허용

      시나리오 6: 외부 IP의 지정 포트 액세스 허용

      사례: 서비스 배포 후 지정한 서비스 포트(예시: 1101)를 외부에서 액세스할 수 있도록 설정해야 할 경우 솔루션: 보안 그룹 규칙 추가 시 '유형'을 '사용자 정의'로 선택하고 1101번 프로토콜 포트를 활성화하여 외부에서 지정 서비스 포트로 액세스할 수 있도록 허용합니다. 실제 필요에 따라 전체 IP 또는 지정 IP(IP 대역)를 인터넷에 개방하고 지정한 서비스 포트에 액세스하는 IP 출처를 허용할 수도 있습니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      사용자 정의
      전체 IP: 0.0.0.0/0
      지정 IP: 사용자가 지정한 IP 또는 IP 주소 대역 입력
      TCP:1101
      허용

      시나리오 7: 외부 IP의 지정 포트 액세스 거부

      사례: 서비스 배포 후 지정한 서비스 포트(예시: 1102)를 외부에서 액세스할 수 없도록 설정해야 할 경우 솔루션: 보안 그룹 규칙 추가 시 '유형'을 '사용자 정의'로 선택하고 1102번 프로토콜 포트를 활성화한 후, '정책'을 '거부'로 설정하면 외부에서 지정한 서비스 포트에 액세스할 수 없습니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      사용자 정의
      전체 IP: 0.0.0.0/0
      지정 IP: 사용자가 지정한 IP 또는 IP 주소 대역 입력
      TCP:1102
      거부

      시나리오 8: CVM에 특정 외부 IP 액세스만 허용

      사례: 외부 특정 IP 주소만 CVM에 액세스할 수 있도록 설정해야 할 경우 솔루션: 아래의 설정을 참조하여 아래 두 개의 아웃바운드의 보안 그룹 규칙을 추가합니다.
      인스턴스에 특정 공용 IP 주소가 액세스할 수 있도록 허용
      인스턴스에 모든 프로토콜을 통한 모든 공용 IP 주소 액세스 금지
      주의사항：
      액세스를 허용하는 규칙 우선순위가 액세스를 거부하는 규칙 우선순위보다 높아야 합니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      아웃바운드
      사용자 정의
      CVM에 액세스를 허용하는 특정 공용 IP 주소
      사용해야 하는 프로토콜 유형 및 포트
      허용
      아웃바운드
      사용자 정의
      0.0.0.0/0
      ALL
      거부

      시나리오 9: CVM에 특정 외부 IP 액세스 거부

      사례: 외부 특정 IP 주소가 CVM에 액세스하지 못하도록 설정해야 할 경우 솔루션: 아래의 설정을 참조하여 보안 그룹 규칙을 추가합니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      아웃바운드
      사용자 정의
      인스턴스에 액세스를 거부할 특정 공용 IP 주소
      ALL
      거부

      시나리오 10: FTP를 사용해 파일 업로드 또는 다운로드

      사례: FTP 소프트웨어를 사용하여 CVM에 파일을 업로드 또는 다운로드해야 할 경우 솔루션: 아래의 설정을 참조하여 보안 그룹 규칙을 추가합니다.
      방향
      유형
      출처
      프로토콜 포트
      정책
      인바운드
      사용자 정의
      0.0.0.0/0
      TCP:20-21
      허용

      여러 시나리오 조합

      실제 시나리오에서는 비즈니스 요구사항에 따라 다수의 보안 그룹 규칙을 설정해야 할 수 있습니다(예: 인바운드 규칙 또는 아웃바운드 규칙 동시 설정). 단일 CVM에는 1개 이상의 보안 그룹을 바인딩할 수 있습니다. CVM에 다수의 보안 그룹을 바인딩할 경우 보안 그룹은 위에서부터 차례대로 매칭된 후 실행되며, 언제든 보안 그룹의 우선순위를 조정할 수 있습니다. 보안 그룹 규칙의 우선순위 설명은 규칙 우선순위 설명을 참조하십시오.
      문의하기

      고객의 업무에 전용 서비스를 제공해드립니다.

      문의하기
      기술 지원

      더 많은 도움이 필요하시면, 티켓을 통해 연락 바랍니다. 티켓 서비스는 연중무휴 24시간 제공됩니다.

      티켓 제출
      연중무휴 24시간 전화 지원
      Copyright © 2013-2024 Tencent Cloud. All Rights Reserved.
      개인정보 처리방침서비스 약관쿠키 정책