网络ACL配置示例_虚拟私有云 VPC_用户指南_安全性_网络ACL

拒绝特定端口访问

在本示例中，假设要防止勒索病毒Wanna Cry的攻击，需要隔离具有漏洞的应用端口，例如TCP 445端口。您可以在子网层级添加网络ACL拒绝规则，拒绝所有对TCP 445端口的入站访问。

允许某些协议端口的访问

在本示例中，假设子网内的某个弹性云服务器做Web服务器，入方向需要放通HTTP 80和HTTPS 443端口，出方向全部放通。当子网开启网络ACL时，需要同时配置网络ACL和安全组规则。

网络ACL配置

需要添加的网络ACL入方向、出方向规则如表2所示。

安全组配置

需要添加的安全组入方向、出方向规则如表3所示。

网络ACL相当于一个额外的保护层，就算不小心配置了比较宽松的安全组规则，网络ACL规则也仅允许HTTP 80和HTTPS 443的访问，拒绝其他的入站访问流量。

拒绝某IP地址的访问

在本示例中，假设要禁止一些异常IP的访问，例如：192.168.1.102，您可以在子网层级添加网络ACL拒绝规则，拒绝192.168.1.102的入站访问。

网络ACL配置

需要添加的入方向规则如表4所示。

表4 网络ACL规则

方向	动作	协议	源地址	源端口范围	目的地址	目的端口范围	说明
入方向	拒绝	TCP	192.168.1.102/32	1-65535	0.0.0.0/0	全部	拒绝192.168.1.102对子网的访问
入方向	允许	全部	0.0.0.0/0	1-65535	0.0.0.0/0	全部	放通所有入站流量

• 网络ACL默认拒绝所有入站流量，需先放通所有入站流量。
• 当添加了拒绝的规则，并且希望拒绝规则优先匹配时，需要将拒绝的规则放到允许规则的前面，匹配到拒绝规则的流量将会生效。具体操作请参见修改网络ACL规则生效顺序。