操作场景

若NLB实例需要正常提供服务，则NLB实例和后端服务器二者的安全组和网络ACL均需要放通相关的流量。本文为您介绍如何为后端服务器的安全组和网络ACL放通相关流量。

NLB实例的安全组和网络ACL放通相关流量，请参考配置配置NLB的安全组和网络ACL。

流量说明

安全组是有状态的。返回数据流会被自动允许，不受规则影响。

网络ACL是无状态的。返回数据流必须被规则明确允许，即流量需要出方向和入方向均被规则明确允许。

后端服务器关联的安全组和网络ACL需要放通流量说明如下表：

安全组

条件	客户端地址	放通流量说明
开启放通后端安全组	-	后端服务器的安全组不校验NLB实例发送至后端服务器的流量，默认放通，故无需配置安全组
关闭放通后端安全组	开启客户端地址保持	客户端请求的源地址为客户端IP，健康检查请求的源地址为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通： NLB转发到后端服务器的访问流量：客户端IP地址基于监听协议和后端服务器端口的流量健康检查流量：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量
关闭放通后端安全组		关闭客户端地址保持	客户端请求和健康检查请求的源地址均为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通： NLB转发到后端服务器的访问流量：NLB实例所有子网网段基于监听协议和后端服务器端口的流量健康检查流量：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量

网络ACL

条件	客户端地址	放通流量说明
NLB实例与后端服务器属于相同子网	-	因为NLB和后端服务器属于相同子网，NLB转发到后端服务器的访问流量和健康检查的流量不经过网络ACL，故无需配置网络ACL：
NLB实例与后端服务器属于不同子网	开启客户端地址保持	客户端请求的源地址为客户端IP，健康检查请求的源地址为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通： NLB转发到后端服务器的访问流量：客户端IP地址基于监听协议和后端服务器端口的流量健康检查流量：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量为方便配置和管理，建议放通出方向的全部流量。
NLB实例与后端服务器属于不同子网		关闭客户端地址保持	客户端请求和健康检查请求的源地址均为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通： NLB转发到后端服务器的访问流量：NLB实例所有子网网段基于监听协议和后端服务器端口的流量健康检查流量：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量为方便配置和管理，建议放通出方向的全部流量。

安全组（仅入方向规则、出方向规则无需配置）

放通后端安全组

客户端地址保持

优先级

策略

协议类型

端口范围

源地址

描述

开启

--

后端服务器的安全组不校验NLB实例发送至后端服务器的流量，默认放通，故无需配置安全组

未开启

开启

1

允许

监听协议

服务器提供服务的端口

客户端IP地址

放通NLB转发到后端服务器的访问流量

1

允许

健康检查协议

健康检查端口

NLB实例所属子网网段。推荐引用NLB实例关联的安全组

放通NLB健康检查流量

关闭

1

允许

监听协议

服务器提供服务的端口

NLB实例所属子网网段。推荐引用NLB实例关联的安全组

放通NLB转发到后端服务器的访问流量

1

允许

健康检查协议

健康检查端口

放通NLB健康检查流量

网络ACL

后端服务器与NLB的子网

客户端地址保持

规则方向

优先级

策略

协议

源地址/目的地址

目的端口

描述

相同

--

流量不经过后端服务器所在子网关联的网络ACL，故无需配置

不同

开启

入方向

1

允许

监听协议

源地址：客户端IP地址

服务器提供服务的端口

放通NLB转发到后端服务器的访问流量

入方向

1

允许

健康检查协议

源地址：NLB实例所属子网网段

健康检查端口

放通NLB健康检查流量

出方向

1

允许

ALL

目的地址：0.0.0.0/0

ALL

放通全部流量

关闭

入方向

1

允许

监听协议

源地址：NLB实例所属子网网段

服务器提供服务的端口

放通NLB转发到后端服务器的访问流量

入方向

1

允许

健康检查协议

健康检查端口

放通NLB健康检查流量

出方向

1

允许

ALL

目的地址：0.0.0.0/0

ALL

放通全部流量

负载均衡