普通与企业级安全组全方位对比-云服务器 ECS-阿里云

安全组按照类型划分为普通安全组和企业级安全组，两者均免费。在安全组容量、能否添加授权安全组的规则以及默认访问控制规则等方面有一定差异，适用于不同的使用场景。本文主要介绍普通安全组与企业级安全组的特点和区别。

说明

当一台ECS实例或一块弹性网卡关联多个安全组时，这些安全组只能是普通安全组或企业级安全组中的一种类型，不能混合关联普通安全组和企业级安全组。

单个安全组能容纳的私网IP地址数量

在您将ECS实例、弹性网卡、ECI实例等资源关联到安全组时，这些资源将会占用安全组的私网IP地址容量。需要注意的是，单个资源的私网IP数量会有一个或多个。

具体的容量对比如下表所示：

安全组类型	单个安全组能容纳的私网IP地址数量
普通安全组	VPC网络：6000 说明 IP占用数按照安全组关联的弹性网卡（包括实例主网卡、辅助网卡）的私网IP数量计数，包括主私网IPv4、IPv6、辅助私网IPv4、IPv4 前缀、IPv6前缀等所有类型IP地址的数量总和。如果您有超过6,000个私网IP需要内网互访，可以将这些私网IP的ECS实例分配到多个安全组内，并通过互相授权的方式允许互访。您可以在配额中心根据配额ID`q_vpc-normal-security-group-ip-count`查看专有网络普通安全组内的私网IP地址数量上限。经典网络：1000
企业级安全组	VPC网络：65536 说明 IP占用数按照安全组关联的弹性网卡（包括实例主网卡、辅助网卡）的数量计数，即关联的所有弹性网卡的数量总和。企业级安全组不支持经典网络。

在VPC网络下，相比于普通安全组，企业级安全组可以容纳更多的私网IP地址数量。如果您集群中的私网IP数量较多，普通安全组无法容纳，阿里云建议您使用企业级安全组。

安全组作为授权对象，是指添加一条安全组规则，规则的授权对象为一个安全组ID。

安全组类型	支持安全组作为授权对象	说明
普通安全组	是	您可以添加授权对象为其他普通安全组的规则。能够添加的授权安全组的规则有数量限制，最多不能超过20条。更多信息，请参见安全组使用限制。
企业级安全组	否	您不能添加授权对象为安全组的规则，也不能将企业级安全组作为其他安全组规则中的授权对象。

普通安全组的组内互通功能，可以理解为一种授权本安全组内ECS实例内网访问的特殊规则。您可以通过修改组内连通策略，来开启或关闭普通安全组的组内互通功能。在企业级安全组中，安全组内的ECS实例默认组内隔离，您不能将企业级安全组的内网连通策略设置为组内互通。

安全组类型	支持修改组内连通策略
普通安全组	是，默认组内互通。说明如果您需要限制ECS实例之间的网络通信以确保网络安全性，您可以通过ECS控制台修改普通安全组的组内连通策略。详细信息，请参见修改普通安全组的组内连通策略。
企业级安全组	否，默认组内隔离。

普通安全组和企业级安全组的默认访问控制规则有所不同，普通安全组的组内连通策略，会影响其默认访问控制规则。安全组的默认访问控制规则是不可见的，与您自定义的安全组规则，共同作用如下：

说明

下文中的序号用于表示规则排序后的顺序，决定流量能否通过时，按照序号依次匹配。

入方向

如下表所示，在普通安全组的组内连通策略为组内互通时，不论安全组自定义规则如何配置，同安全组内其他ECS实例通过内网访问的流量将被放行（序号1）。其他流量，如果与安全组自定义规则匹配，将按照规则指定的授权策略，允许或拒绝放行（序号2）。否则，将会被拒绝访问（序号3）。

出方向

如下表所示，普通安全组出方向流量，如果与安全组出方向规则匹配，将按照规则指定的授权策略，允许或拒绝放行（序号1）。否则，其他任何出方向流量，将会被允许放行（序号2）。

入方向

如下表所示，在普通安全组的组内连通策略为组内隔离时，同安全组内其他ECS实例流量不再被默认放行。如果入方向流量与安全组自定义规则匹配，将按照规则指定的授权策略，允许或拒绝放行（序号1）。其他任何入方向流量，将会被拒绝访问（序号2）。

出方向：

与组内连通策略为组内互通时相同。

由上述对比列表可知，对于普通安全组，组内连通策略会影响入方向流量的默认访问控制规则。在组内连通策略被设置为组内互通时，阿里云会默认放行同安全组内其他ECS实例通过内网访问的流量。阿里云建议您遵循最小权限原则，在不需要普通安全组内ECS实例间内网互通时，将普通安全组的组内连通策略设置为组内隔离。

入方向：

如下表所示，在企业级安全组中，如果入方向流量与安全组入方向规则匹配，将按照规则指定的授权策略，允许或拒绝放行（序号1）。其他任何入方向流量，将会被拒绝访问（序号2）。

出方向：

如下表所示，在企业级安全组中，如果出方向流量与安全组出方向规则匹配，将按照规则指定的授权策略，允许或拒绝放行（序号1）。其他任何出方向流量，将会被拒绝访问（序号2）。