安全组规则是否会覆盖 VPC 中的 NACL？

Question

我正在尝试创建一个具有 3 台服务器的 VPC，并启用 VPC 内部的所有流量以及工作站外部的特定 IP 地址。 我还想阻止任何其他流量。 我无法理解 VPC 中的安全逻辑： 如果我在 ACL 级别阻止所有流量并在安全组级别只允许我想要的 - 它会起作用吗？ 基本上，我想了解的是如何管理子网外的带外流量？

Answer 1

这 2 个服务协同工作，它们不充当 OR 条件。

安全组

安全组在主机级别进行评估，默认情况下所有流量都被阻止，除非明确允许通过 ENI 的任何交互都将根据安全组进行评估。

NACL

另一方面，NACL 在子网级别进行评估。流量在进入（或离开）子网时进行评估。事实上，如果 2 个实例位于同一子网中并私下通信，则永远不会评估 NACL。

NACL 的规则按数字从小到大的顺序进行评估，并支持 DENY 和 ALLOW。

如果您在 NACL 级别阻止所有流量，那么将支持的唯一通信是同一子网中具有与安全组匹配的入站/出站规则的实例之间的通信。