Security Group
Security Group là tập hợp quy tắc firewall (rule) gắn vào máy ảo (hoặc Network Interface) để kiểm soát traffic. Đặc điểm:
- Stateful — phản hồi của kết nối hợp lệ tự động được cho qua, không cần rule riêng.
- Default deny cho Ingress — chỉ traffic khớp rule mới được vào.
- Default allow cho Egress trong Security Group mặc định — máy ảo gọi ra ngoài tự do.
- Cộng dồn khi gắn nhiều SG vào một máy ảo — rule của tất cả SG hợp nhất bằng OR.
Tạo Security Group
Bước 1. Mở trang Security Group
Vào Mạng → Security Group và bấm + Tạo Security Group.
Bước 2. Đặt tên và mô tả
Đặt tên theo vai trò (web-public, db-private, bastion-only…). Khác với Network, Mô tả là trường bắt buộc khi tạo Security Group — không để trống được.
Security Group mới có sẵn 2 rule Egress mặc định (một cho IPv4, một cho IPv6 — cho phép ra mọi nơi) — bạn chỉ cần thêm rule Ingress cho các port cần mở.
Thêm rule vào Security Group
Bước 1. Mở trang quản lý rule
Trong danh sách, bấm biểu tượng quản lý rule (⚙) cạnh Security Group cần sửa.
Bước 2. Tạo rule
Bấm + Tạo rule.
Bước 3. Chọn Rule mẫu
Trường Rule là danh sách mẫu dựng sẵn — chọn đúng mẫu sẽ tự điền Protocol/Direction/Port cho các dịch vụ phổ biến, không cần tự tra port:
| Rule | Protocol | Direction / Port |
|---|---|---|
| Custom TCP (mặc định) | TCP | Tự chọn Direction + Port |
| Custom UDP | UDP | Tự chọn Direction + Port |
| All TCP | TCP | Tự chọn Direction, áp dụng mọi port |
| All UDP | UDP | Tự chọn Direction, áp dụng mọi port |
| SSH | TCP | Ingress, cổng 22 (cố định) |
| HTTP | TCP | Ingress, cổng 80 (cố định) |
| HTTPS | TCP | Ingress, cổng 443 (cố định) |
| MySQL | TCP | Ingress, cổng 3306 (cố định) |
| RDP | TCP | Ingress, cổng 3389 (cố định) |
| IMAP | TCP | Ingress, cổng 143 (cố định) |
| POP3 | TCP | Ingress, cổng 110 (cố định) |
| DNS | TCP | Ingress, cổng 53 (cố định) |
| ICMP | ICMP | Tự chọn Direction |
Chỉ Custom TCP/UDP mới hiện ô Port để nhập — và đây là một cổng đơn, không phải dải port (dù cột hiển thị trong bảng rule tên là "Port range"). Cần mở một dải nhiều port liền nhau thì tạo nhiều rule riêng lẻ, hoặc dùng All TCP/All UDP nếu muốn mở toàn bộ port của protocol đó.
Bước 4. Cấu hình Remote
| Trường | Ý nghĩa | Ví dụ |
|---|---|---|
| Mô tả (tùy chọn) | Ghi chú | SSH from office |
| Remote | CIDR hoặc Security Group | CIDR |
| CIDR | Dải IP nguồn/đích — chỉ hiện khi Remote = CIDR | 0.0.0.0/0 hoặc 203.0.113.10/32 |
| Security group | Cho phép traffic từ máy ảo trong SG khác — chỉ hiện khi Remote = Security Group | sg-app-tier |
| Phiên bản IP | IPv4 hoặc IPv6 — chỉ chọn được khi Remote = Security Group; khi Remote = CIDR, portal luôn áp dụng IPv4 | IPv4 |
Bấm Lưu.
Bước 5. Kiểm tra rule
Rule mới xuất hiện trong bảng (cột Loại hiển thị IPv4/IPv6) và áp dụng ngay cho mọi máy ảo đang gắn SG này.
Các rule phổ biến
Web server công khai
| Direction | Protocol | Port | Remote | Mục đích |
|---|---|---|---|---|
| Ingress | TCP | 80 | 0.0.0.0/0 | HTTP |
| Ingress | TCP | 443 | 0.0.0.0/0 | HTTPS |
| Ingress | TCP | 22 | <IP-văn-phòng>/32 | SSH chỉ từ văn phòng |
Database nội bộ
| Direction | Protocol | Port | Remote | Mục đích |
|---|---|---|---|---|
| Ingress | TCP | 3306 | sg-app-tier | MySQL chỉ từ app server |
| Ingress | TCP | 22 | sg-bastion | SSH chỉ qua bastion |
Không có rule mở 3306 ra 0.0.0.0/0 — database không lộ ra Internet.
Bastion / Jump host
| Direction | Protocol | Port | Remote | Mục đích |
|---|---|---|---|---|
| Ingress | TCP | 22 | <IP-văn-phòng>/32 | Chỉ SSH từ văn phòng |
Sau đó các máy ảo nội bộ chỉ chấp nhận SSH từ sg-bastion.
Khuyến nghị bảo mật
- Không mở
0.0.0.0/0cho port quản trị (SSH 22, RDP 3389, DB 3306/5432, …) — giới hạn theo IP cụ thể. - Tách Security Group theo tầng (web / app / db) — không nhồi tất cả rule vào một SG.
- Dùng Security Group làm Remote thay vì CIDR khi traffic nội bộ — tự động cập nhật khi máy ảo thay đổi IP.
- Định kỳ rà soát rule, xóa rule không còn dùng để giảm bề mặt tấn công.
Thêm/xóa rule có hiệu lực ngay lập tức cho mọi máy ảo gắn SG. Trước khi gỡ rule cho port quản trị (SSH/RDP), đảm bảo có kênh khác (Portal Console, Security Group khác đang giữ port đó) để không tự khóa mình ra ngoài.
Liên kết
- Gắn Security Group cho máy ảo — gắn/gỡ SG đã tạo.
- Floating IP — cấp IP public; cần Security Group phù hợp để traffic vào được.
- SSH/RDP — port cần mở để kết nối từ xa.