本文为您介绍如何通过网络ACL功能限制本地数据中心与云上的互通关系。

前提条件

开始操作前，请确保满足以下条件：

背景信息

某公司在云上创建了公网负载均衡实例和ECS实例，ECS实例部署了静态网页，负载均衡实例配置了监听并添加ECS实例作为后端服务器。默认情况下，本地数据中心1和本地数据中心2均可以通过负载均衡实例的公网IP地址访问静态网页。因公司业务需要，要求只允许本地数据中心1访问静态网页，禁止本地数据中心2访问静态网页。

各网络的公网IP地址如下表所示：
网络 公网IP地址
本地数据中心1 111.xx.xx.111
本地数据中心2 222.xx.xx.222
负载均衡实例 33.xx.xx.33

如上图，您可以将网络ACL与ECS实例所属的交换机绑定，然后通过配置网络ACL规则实现对交换机中ECS流量的访问控制。

配置流程图如下：

步骤一：创建网络ACL

  1. 登录专有网络管理控制台。
  2. 在左侧导航栏，单击网络ACL。
  3. 在顶部菜单栏处，选择网络ACL的地域。
  4. 在网络ACL页面，单击创建网络ACL。
  5. 在创建网络ACL对话框中，根据以下信息配置网络ACL，然后单击确定。
    • 专有网络：选择网络ACL所属的专有网络。
    • 名称：输入网络ACL的名称。

      名称长度为2~128个字符，以英文字母或中文开头，可包含数字、下划线（_）和短划线（-）。

    • 描述：输入网络ACL的描述。

      描述长度为2~256个字符，不能以http://和https://开头。

步骤二：绑定交换机

  1. 登录专有网络管理控制台。
  2. 在左侧导航栏，单击网络ACL。
  3. 在顶部菜单栏处，选择网络ACL的地域。
  4. 在网络ACL页面，找到目标网络ACL，单击网络ACL的ID。
  5. 在已绑定资源页签下，单击关联交换机。
  6. 在关联交换机对话框，选择交换机，然后单击确定。

步骤三：添加网络ACL规则

为网络ACL添加入方向规则和出方向规则。

  1. 登录专有网络管理控制台。
  2. 在左侧导航栏，单击网络ACL。
  3. 在顶部菜单栏处，选择网络ACL的地域。
  4. 在网络ACL页面，找到目标网络ACL，单击操作列下的设置入方向规则。
  5. 在设置入方向规则页签下，单击管理入方向规则。
  6. 在管理入方向规则对话框，根据以下信息配置入方向规则，然后单击确定。
    优先级 规则名称 策略 协议类型 源地址 源端口范围
    1 允许来自本地数据中心1的HTTP请求 允许 TCP 本地数据中心1的公网IP地址，本示例输入111.xx.xx.111。 80/80
    3 拒绝来自本地数据中心2的HTTP请求 拒绝 TCP 本地数据中心2的公网IP地址，本示例输入222.xx.xx.222。 80/80
    如果负载均衡实例开启了健康检查功能，您还需添加以下入方向规则。
    优先级 规则名称 策略 协议类型 源地址 源端口范围
    2 允许健康检查 允许 ALL 负载均衡健康检查使用的地址段，为固定地址段100.64.0.0/10。 -1/-1
  7. 单击出方向规则页签，然后单击管理出方向规则。
  8. 在管理出方向规则对话框，根据以下信息配置出方向规则，然后单击确定。
    优先级 规则名称 策略 协议类型 源地址 源端口范围
    1 允许去往本地数据中心1的HTTP流量 允许 TCP 本地数据中心1的公网IP地址，本示例输入111.xx.xx.111。 80/80
    3 拒绝去往本地数据中心2的HTTP流量 拒绝 TCP 本地数据中心2的公网IP地址，本示例输入222.xx.xx.222。 80/80
    如果负载均衡实例开启了健康检查功能，您还需添加以下出方向规则。
    优先级 规则名称 策略 协议类型 源地址 源端口范围
    2 允许健康检查 允许 ALL 负载均衡健康检查使用的地址段，为固定地址段100.64.0.0/10。 -1/-1

步骤四：测试连通性

测试本地数据中心1、本地数据中心2与负载均衡实例间的连通性。

  1. 在本地数据中心1下，打开PC端的浏览器。
  2. 在浏览器中输入http://33.xx.xx.33，验证通信是否正常。
    经验证，本地数据中心1下的PC可以访问ECS实例的静态网页。
  3. 在本地数据中心2下，打开PC端的浏览器。
  4. 在浏览器中输入http://33.xx.xx.33，验证通信是否正常。
    经验证，本地数据中心2下的PC不可以访问ECS实例的静态网页。