经典网络中没有网段和网络边界,每个云服务器在网络中都处于同一层次。您可以规划经典网络中的安全策略,例如划分出跳板机区、DMZ区、Web接入区、中间件区、核心数据区等网络隔离区,并能灵活地指定各区之间的ACL规则。通过此安全策略来模拟传统网络体系中的各个网络层次(安全域),实现网络隔离。

以一个典型的三层架构为例,可分为几个安全域:堡垒机(G1)、Web接入(G2)、中间件(G3)和数据区(RDS)。如下图:



安全策略说明:
金融云产品 安全域 接入规则 接出规则
SLB DMZ 允许互联网用户访问。
  • 接出到ECS_Web。
  • 协议/端口:tcp/80,443,2800-3300,5000-10000,13000-14000,21234,22223,22225
堡垒机 DMZ-G1
  • 允许VPN拨入。
  • 协议/端口:SSH/22;远程桌面(RDP)/3389
  • 接出到ECS_Web。
  • 协议/端口:Web管理/443;SSH和SFTP/60022;RDP/63389
ECS_Web DMZ-G2
  • 允许SLB访问。
  • 协议/端口:http/https/tcp/1~65535
  • 接出到ECS_APP
  • 协议/端口:tcp/1~65535
  • 允许堡垒机访问。
  • 协议/端口:TCP/22~3389
ECS_APP 生产应用区-G3
  • 允许ECS-Web访问。
  • 协议/端口:TCP/具体的应用端口
  • 接出到RDS/OSS。
  • 协议/端口:tcp/1~65535
RDS 生产数据区
  • 允许ECS-APP访问。
  • 协议/端口:TCP/3306
-
OSS - -
通过以上安全策略,运维路径是:
  1. 拨入VPN;
  2. 登录G1(堡垒机);
  3. 登录G2(Web Server)和G3(Business Server),堡垒机对所有ECS进行操作审计;
  4. 通过G3上的数据库客户端登录RDS。
互联网用户访问应用的路径是:
  1. 接入SLB
  2. 通过SLB接入应用

以上示例的是串行运维路径,通过多级跳板,深入到更敏感的运维区域;此种方式更安全,但登录操作稍复杂。

此外还有一种星型运维路径,G2/G3/RDS都允许G1(堡垒机访问)。此种方式只有G1一级跳板,登录较简单,但安全性相比串行方式要差一些。金融云场景下建议您使用串行运维路径,提高整体的安全性。