Группы безопасности
Правила входящего и исходящего трафика для ВМ — модель правил, группа по умолчанию и лимиты.
Обновлено
Группа безопасности — набор правил, которые разрешают или запрещают трафик ВМ. Правила работают с отслеживанием состояния: если входящее соединение разрешено, ответный трафик проходит автоматически.
Группа по умолчанию
В каждом проекте есть группа default. Она разрешает весь входящий и исходящий трафик. Её нельзя удалить или
переименовать. ВМ без групп безопасности тоже пропускает весь трафик.
Чтобы ограничить доступ, создайте свою группу и назначьте её ВМ вместо default.
Правило
| Поле | Значения |
|---|---|
| Направление | входящий (ingress) или исходящий (egress) |
| Действие | разрешить (allow) или запретить (deny) |
| Протокол | все, TCP, UDP, ICMP |
| Порты | диапазон портов (кроме ICMP) |
| Источник / назначение | CIDR или другая группа безопасности |
| Приоритет | 1–170, по умолчанию 100 |
| Описание | до 255 символов |
Пример: веб-сервер
| Направление | Протокол | Порты | Источник / назначение | Действие |
|---|---|---|---|---|
| входящий | TCP | 22 | ваш IP, например 203.0.113.10/32 | allow |
| входящий | TCP | 80 | 0.0.0.0/0 | allow |
| входящий | TCP | 443 | 0.0.0.0/0 | allow |
| исходящий | все | — | 0.0.0.0/0 | allow |
Где применяются
Группы назначаются ВМ — при создании (до 5 групп) или позже в карточке ВМ. Для баз данных, балансировщиков и кластеров Kubernetes группы безопасности пока не применяются.
Лимиты
- до 100 правил в группе;
- до 5 групп на одну ВМ;
- имя группы — до 64 символов;
- число групп в рабочем пространстве ограничено квотой.