安全组如何筛选流量

安全组（SG）是一种虚拟防火墙，会直接附加到资源上的弹性网络接口（ENI），例如 EC2 实例、RDS 数据库或负载均衡器上的接口。它在资源层而不是网络边界控制入站和出站流量，因此同一子网中的两个实例可以拥有完全不同的规则。

安全组只包含允许规则。您无法编写显式拒绝规则。不匹配任何允许规则的流量会直接被丢弃。这意味着您需要通过添加所需的允许项来构建访问权限，而隐式默认行为是阻止其他所有流量。

新建的安全组会拒绝所有入站流量，并允许所有出站流量。您需要逐个端口明确开放入站访问，而出站访问会保持完全开放，除非您主动收紧规则。考试场景通常会考查您是否记得出站访问默认是宽松的。

每条规则都会定义协议（TCP、UDP、ICMP）、端口范围，以及入站流量的来源或出站流量的目标。来源可以是 10.0.0.0/16 这样的 CIDR 块，也可以是另一个安全组 ID，这样您就能引用安全组，而不必使用固定 IP。

将来源设置为另一个安全组 ID，可以创建基于身份的动态访问权限。例如，数据库 SG 可以只允许来自应用层 SG 的 5432 端口访问。随着应用服务器数量增加或减少，您无需修改 IP，因为访问权限由被引用安全组中的成员身份决定。

安全组是有状态的。允许入站请求后，无论出站规则如何设置，其响应都会自动被允许出站，反之亦然。连接会被跟踪，因此您无需编写匹配的返回规则。这是安全组与网络 ACL 之间最大的行为差异。

单个 ENI 可以同时附加多个安全组。它们的规则会合并为并集：只要任意一个附加的安全组允许该流量，流量就会被允许。规则没有顺序或优先级，因此您无法使用一个安全组的拒绝规则覆盖另一个安全组。

通过仅开放各层实际需要的端口来实施最小权限。例如，Web 层可以允许来自互联网的 443 端口；应用层只允许来自 Web SG 的 8080 端口；数据层只允许来自应用 SG 的 3306 端口。这种分层链式控制可以限制遭到入侵后的横向移动。

最危险的错误配置是在 22 或 3389 端口上允许 0.0.0.0/0，从而将 SSH 或 RDP 暴露给整个互联网。GuardDuty 和安全中心会标记这类配置。请尽量完全不要开放入站管理端口，而是使用会话管理器；SSM 课程会介绍相关内容。

安全组本身不会记录允许或拒绝的数据包。要查看实际流经的流量，您需要依赖 VPC 流日志，它会记录每个连接的接受或拒绝决定。将 SG 设计与流日志结合起来，以验证您的规则是否按预期运行。

安全组是 VPC 内第一道也是最细粒度的网络防线，作用于实例级别。它们可以与作用于整个子网的网络 ACL，以及 WAF 等应用层工具互相补充。掌握安全组有状态、仅允许和并集这三项特性，是通过 SCS-C02 考试的关键。

测试您对安全组行为的掌握程度。

安全组是附加在资源 ENI 上的有状态、仅允许的虚拟防火墙。新建的安全组会拒绝所有入站流量，并允许所有出站流量。规则指定协议、端口以及来源，来源可以是 CIDR 或另一个安全组 ID。多个安全组以并集方式组合，不支持拒绝规则，也没有顺序之分。请避免开放管理端口，并使用流日志观察流量，因为 SG 不会记录日志。