設(shè)置安全組規(guī)則
云原生API網(wǎng)關(guān)和后端服務(wù)所在的節(jié)點(diǎn)分別處于不同安全組內(nèi)。您可以通過(guò)設(shè)置安全組規(guī)則為云原生API網(wǎng)關(guān)授予訪問(wèn)后端服務(wù)的權(quán)限。
背景信息
安全組是一種虛擬防火墻，用于控制安全組內(nèi)ECS實(shí)例和ENI網(wǎng)卡的入流量和出流量，從而提高ECS實(shí)例的安全性。安全組具備狀態(tài)檢測(cè)和數(shù)據(jù)包過(guò)濾能力，您可以基于安全組的特性和安全組規(guī)則的配置在云端劃分安全域，詳情請(qǐng)參見(jiàn)安全組概述。
您在購(gòu)買云原生API網(wǎng)關(guān)時(shí)需要選擇VPC和安全組類型（建議與后端服務(wù)所在安全組類型一致），根據(jù)您選擇的安全組類型，云原生API網(wǎng)關(guān)會(huì)創(chuàng)建相應(yīng)托管安全組管理網(wǎng)關(guān)的實(shí)例節(jié)點(diǎn)。因?yàn)樵圃鶤PI網(wǎng)關(guān)和后端服務(wù)所在的節(jié)點(diǎn)分別處于不同安全組內(nèi)，需要您在后端服務(wù)的安全組內(nèi)為云原生API網(wǎng)關(guān)授予必要的端口范圍訪問(wèn)權(quán)限。
步驟一：獲取目標(biāo)服務(wù)所在節(jié)點(diǎn)的安全組
云原生API網(wǎng)關(guān)關(guān)聯(lián)的上游服務(wù)，主要包括容器部署和ECS部署。您可以通過(guò)以下方式獲取安全組ID。
目標(biāo)服務(wù)部署在容器中
登錄容器服務(wù)管理控制臺(tái)，在左側(cè)導(dǎo)航欄選擇集群。
獲取安全組ID。
容器服務(wù)ACK Serverless
在集群列表頁(yè)面，單擊目標(biāo)集群名稱，然后在左側(cè)導(dǎo)航欄，選擇集群信息。
在集群信息頁(yè)面，單擊集群資源頁(yè)簽，獲取安全組的ID。
容器服務(wù)ACK
在集群列表頁(yè)面，單擊目標(biāo)集群名稱，然后在左側(cè)導(dǎo)航欄，選擇。
在節(jié)點(diǎn)池頁(yè)面，單擊對(duì)應(yīng)的節(jié)點(diǎn)，然后單擊基本信息頁(yè)簽，獲取安全組的ID。
目標(biāo)服務(wù)部署在ECS上
在左側(cè)導(dǎo)航欄，選擇。
在實(shí)例頁(yè)面，單擊目標(biāo)服務(wù)所部署的ECS實(shí)例，然后單擊安全組頁(yè)簽，獲取安全組的ID。
步驟二：添加安全組授權(quán)規(guī)則
在左側(cè)導(dǎo)航欄，選擇實(shí)例，并在頂部菜單欄選擇地域。
在實(shí)例頁(yè)面，單擊目標(biāo)網(wǎng)關(guān)實(shí)例名稱。
在左側(cè)導(dǎo)航欄單擊概覽頁(yè)，然后單擊安全組授權(quán)頁(yè)簽。
單擊授權(quán)安全組，在安全組ID的文本框中，粘貼步驟一中獲取的安全組ID，選擇相應(yīng)的安全組。
輸入安全組授權(quán)的端口范圍：起始值/終止值。
可以輸入多個(gè)端口范圍，每輸入一個(gè)端口范圍單擊回車，即可生效。
單擊保存。
云原生API網(wǎng)關(guān)會(huì)生成對(duì)應(yīng)的規(guī)則。
同時(shí)目標(biāo)節(jié)點(diǎn)所在的安全組中也會(huì)看到在云原生API網(wǎng)關(guān)創(chuàng)建的安全組規(guī)則。
刪除安全組授權(quán)規(guī)則
在左側(cè)導(dǎo)航欄，選擇實(shí)例，并在頂部菜單欄選擇地域。
在實(shí)例頁(yè)面，單擊目標(biāo)網(wǎng)關(guān)實(shí)例名稱。
在左側(cè)導(dǎo)航欄單擊概覽頁(yè)，單擊安全組授權(quán)頁(yè)簽，然后單擊操作列下方的刪除，單擊確定。
默認(rèn)只刪除云原生API網(wǎng)關(guān)的安全組規(guī)則，如需將目標(biāo)節(jié)點(diǎn)所在安全組的規(guī)則一并刪除，您還需要勾選級(jí)聯(lián)刪除該安全組內(nèi)的上述入方向規(guī)則。
常見(jiàn)問(wèn)題
問(wèn)題一：安全組已經(jīng)授權(quán)，為什么服務(wù)還是訪問(wèn)不通？
您可以按照如下步驟自助排查：
首先需要確認(rèn)您的目標(biāo)服務(wù)所部署的節(jié)點(diǎn)是否正確。
有可能存在服務(wù)部署在了A節(jié)點(diǎn)上，但是給B節(jié)點(diǎn)所在的安全組授權(quán)。
您的目標(biāo)節(jié)點(diǎn)是否設(shè)置了多個(gè)安全組。
如果是多個(gè)安全組，建議給每個(gè)安全組都授權(quán)。
問(wèn)題二：安全組已經(jīng)授權(quán)，之前網(wǎng)關(guān)訪問(wèn)服務(wù)是通的，現(xiàn)在突然間不通了，是什么原因？
您可以按照如下步驟自助排查：
首先確認(rèn)您的服務(wù)本身沒(méi)有問(wèn)題。
您可以對(duì)同一安全組內(nèi)的其他節(jié)點(diǎn)使用
curl命令檢查服務(wù)的連通性。確認(rèn)您發(fā)布的服務(wù)對(duì)外暴露的端口是否有變更。
例如以前端口為8080，在云原生API網(wǎng)關(guān)只給8080端口授權(quán)了，之后又將端口變更為8081，這時(shí)需要重新調(diào)整云安全組授權(quán)規(guī)則端口。為了避免這種情況發(fā)生，建議您在配置安全組授權(quán)時(shí)擴(kuò)大端口范圍，可以將范圍選成1/65535。