限制不同交换机下的ECS间的互通_最佳实践_网络ACL

本文为您介绍如何通过网络ACL功能限制不同交换机下的ECS实例的互通关系。

前提条件

开始前，请确保满足以下条件：

您已经注册了阿里云账号。如还未注册，请先完成账号注册。
目前，各地域对网络ACL功能的支持情况不同，具体如下：
- 默认支持网络ACL功能的地域：华北5（呼和浩特）、西南1（成都）、印度尼西亚（雅加达）、英国（伦敦）、印度（孟买）、华南2（河源）。
- 白名单支持网络ACL功能的地域：华北1（青岛）、华北2（北京）、华东1（杭州）、华东2（上海）、华南1（深圳）、中国（香港）、美国（硅谷）、新加坡、德国（法兰克福）。如需使用，请提交申请。
除以上地域外，其他地域不支持网络ACL功能。
您已经创建了专有网络和交换机。详细信息，请参见创建专有网络。
您已经在交换机中创建了ECS实例。详细信息，请参见使用向导创建实例。

某公司在云上创建了VPC，在VPC中创建了两个交换机，交换机1下创建了ECS1实例（192.168.1.206），交换机2下创建了ECS2实例（192.168.0.229）和ECS3实例（192.168.0.230）。因公司业务需要，要求ECS实例间、ECS与互联网间必须满足以下互通关系。

如上图，您可以自定义设置网络ACL规则，并将网络ACL与交换机绑定，实现对交换机中ECS的流量的访问控制。

配置流程图如下：

完成以下操作，创建网络ACL。

完成以下操作，将交换机1和交换机2绑定到网络ACL。

完成以下操作，为网络ACL添加入方向规则和出方向规则。

在创建入方向规则对话框，根据以下信息配置入方向规则，然后单击确定。


名称	生效顺序	策略	协议类型	源地址	目的端口范围
允许来自ECS2的流量	1	允许	all	192.168.0.229/32	-1/-1
允许来自ECS1的流量	2	允许	all	192.168.1.206/32	-1/-1
拒绝来自所有地址的流量	3	拒绝	all	0.0.0.0/0	-1/-1

在创建出方向规则对话框，根据以下信息配置出方向规则，然后单击确定。


名称	生效顺序	策略	协议类型	目标地址	目的端口范围
允许去往ECS2的流量	1	允许	all	192.168.0.229/32	-1/-1
允许去往ECS1的流量	2	允许	all	192.168.1.206/32	-1/-1
拒绝去往所有地址的流量	3	拒绝	all	0.0.0.0/0	-1/-1

完成以下操作，测试ECS间、ECS与互联网间的连通性。