负载均衡
负载均衡
传统型负载均衡CLB
请输入
- 文档首页
负载均衡最佳实践CLB安全防护
复制全文
下载 pdfCLB安全防护
文档反馈
问问助手本文将介绍CLB服务如何实现流量的安全防护。
场景介绍
CLB服务在提供公私网流量分发的同时，还可以通过 访问控制 功能控制访问CLB实例的流量。配合私有网络服务的 网络ACL 和 安全组 功能，还支持控制访问后端服务器的流量。
访问控制与网络ACL、安全组结合使用，可以帮助您在内/外用户访问和后端服务器组之间添加三层过滤，保障对后端服务器的安全访问。
基本概念
前提条件
建议您提前规划每层过滤的访问控制规则，后续您也可以随业务变化随时更新规则，规则实时生效。
- 访问控制 ：使用访问控制功能，您需要创建至少一个访问控制策略组，用于集中管理IP。策略组本身并不对访问控制方式做限制，交由监听器完成，包括黑名单和白名单两种方式。
- 因此，您需要将具有相同访问控制要求的IP或IP段存放于同一访问控制策略组内，在关联监听器时选择控制方式。
- 网络ACL：网络ACL功能作用于子网。因此您只需要为相应的子网规划访问控制规则，并添加到子网关联的网络ACL中。
- 安全组：安全组功能作用于网卡。因此您需要为每个后端服务器（主网卡或辅助网卡）单独规划访问控制规则，并添加到后端服务器关联的安全组中。
首次创建
第一步：创建访问控制策略组
- 登录CLB控制台。
- 在顶部导航栏，选择目标项目和地域。
- 在左侧导航树，单击访问控制。
- 单击创建访问控制策略组按钮，配置策略组的名称和IP条目。
-
- 单击确定按钮，完成操作。
第二步：创建网络ACL并关联子网
- 登录网络ACL控制台。
- 在顶部导航栏，选择目标资源所属的项目和地域。
- 单击创建网络ACL按钮，参考下表配置网络ACL。
-
- 单击确定按钮，完成网络ACL的创建。
- 在网络ACL列表中，单击网络ACLacl-01右侧的配置规则按钮。
- 根据规划，分别配置网络ACL的出入方向规则。
- 配置完成后，单击保存按钮，完成规则配置。
- 在网络ACL列表中，单击acl-01右侧的关联子网按钮。
- 在关联子网区域，单击新增关联按钮。
- 勾选待关联的子网，单击确定按钮，完成操作。
第三步：创建安全组规则并绑定网卡
- 登录安全组控制台。
- 在顶部导航栏，选择目标项目和地域。
- 单击创建安全组按钮，参考下表配置安全组。
-
- 单击确定按钮，完成操作。
- 在安全组列表中，单击安全组sg-01右侧的关联网卡按钮。
- 在关联网卡页签，单击关联网卡按钮。
- 勾选待关联的网卡，单击确定按钮，完成操作。
第四步：创建后端服务器组
第五步：创建监听器配置访问控制、并关联后端服务器组
- 在创建监听器时，第一步配置协议&监听开启访问控制，选择控制方式和策略组。
-
- 为监听器关联后端服务器组。
- 四层监听器可以在第二步后端服务器组关联后端服务器组。
更改配置
- 登录CLB控制台。
- 在顶部导航栏，选择目标项目和地域。
- 在左侧导航树，选择访问控制，进入访问控制页面。
- 在策略组列表，单击策略组policy-1右侧的管理IP条目按钮。
- 单击添加IP条目，添加新的IP条目，单击确定按钮，完成操作。
- 单击目标IP条目右侧的删除按钮，删除条目。
- 登录网络ACL控制台。
- 在顶部导航栏，选择目标项目和地域。
- 在网络ACL列表，单击网络ACL 右侧的配置规则按钮。
- 切换出入方向规则页签，单击编辑入方向规则或编辑出方向规则按钮。
- 单击左下方的添加规则按钮，分别配置入方向和出方向规则。
- 单击保存按钮，完成入方向和出方向的规则添加。
- 单击目标规则右侧的删除按钮，完成操作。
- 登录安全组控制台。
- 在顶部导航栏，选择目标项目和地域。
- 在安全组列表，单击安全组sg-01右侧的配置规则按钮。
- 单击添加规则按钮，配置出方向或入方向规则。
- 单击确定按钮，完成规则添加。
- 单击目标安全组右侧的删除按钮，完成操作。
- 登录CLB控制台。
- 在顶部导航栏，选择目标项目和地域。
- 单击目标CLB实例列表右侧的配置监听器按钮。
- 单击目标监听器列表右侧的··· > 编辑访问控制按钮。
- 重新配置访问控制。
- 单击确定按钮，完成操作。
最近更新时间：2025.07.11 16:21:37
这个页面对您有帮助吗？
有用
有用
无用
无用