在云计算环境中，安全组（Security Group）是用于控制进出云服务器流量的重要工具，它们定义了哪些IP地址、端口和协议被允许或拒绝访问特定的实例，了解如何查询和理解安全组的详细信息对于维护网络安全至关重要，本文将详细介绍如何查询和解读安全组的信息，并提供两个常见问题及其解答。
查询安全组信息
使用AWS CLI查询Amazon EC2安全组
1、安装并配置AWS CLI：首先确保你已经安装了AWS CLI，并且已经通过aws configure命令配置了你的凭证。
2、列出所有安全组：使用以下命令可以列出账户下所有的安全组ID。
aws ec2 describe-security-groups --query 'SecurityGroups[*].GroupId' --output text
3、查看特定安全组详情：假设你想查看名为“my-security-group”的安全组详情，可以使用以下命令：
aws ec2 describe-security-groups --filters Name=group-name,Values=my-security-group --query 'SecurityGroups[*]'
4、输出示例：上述命令会返回类似如下的JSON格式数据：
[
{
"Description": "My security group",
"IpPermissions": [
{
"FromPort": 80,
"IpProtocol": "tcp",
"IpRanges": [
{
"CidrIp": "0.0.0.0/0"
}
],
"ToPort": 80,
"Ipv6Ranges": [],
"PrefixListIds": [],
"UserIdGroupPairs": []
},
{
"FromPort": 22,
"IpProtocol": "tcp",
"IpRanges": [
{
"CidrIp": "192.168.1.0/24"
}
],
"ToPort": 22,
"Ipv6Ranges": [],
"PrefixListIds": [],
"UserIdGroupPairs": []
}
],
"OwnerId": "123456789012",
"GroupId": "sg-0123456789abcdef0",
"GroupName": "my-security-group",
"VpcId": "vpc-1234567890abcdef0",
"Tags": [
{
"Key": "Name",
"Value": "my-security-group"
}
]
}
]使用Azure CLI查询Azure NSG（网络安全组）
1、登录到Azure账户：首先确保你已经登录到了Azure账户。
az login
2、列出所有NSG：使用以下命令可以列出订阅中的所有网络安全组。
az network nsg list --query [].id --output tsv
3、查看特定NSG详情：假设你想查看名为“myNSG”的网络安全组详情，可以使用以下命令：
az network nsg show --name myNSG --resource-group myResourceGroup --query []
4、输出示例：上述命令会返回类似如下的JSON格式数据：
{
"id": "/subscriptions/12345678-1234-1234-1234-1234567890ab/resourceGroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG",
"location": "eastus",
"name": "myNSG",
"type": "Microsoft.Network/networkSecurityGroups",
"tags": {},
"properties": {
"networkInterfaces": [
{
"id": "/subscriptions/12345678-1234-1234-1234-1234567890ab/resourceGroups/myResourceGroup/providers/Microsoft.Network/networkInterfaces/nic1",
"securityRuleAssociations": [
{
"id": "/subscriptions/12345678-1234-1234-1234-1234567890ab/resourceGroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG/securityRules/rule1"
}
]
}
],
"provisioningState": "Succeeded",
"securityRules": [
{
"name": "rule1",
"properties": {
"protocol": "Tcp",
"sourcePortRange": "*",
"destinationPortRange": "80",
"sourceAddressPrefix": "*",
"destinationAddressPrefix": "*",
"access": "Allow",
"priority": 100,
"direction": "Inbound"
}
},
{
"name": "rule2",
"properties": {
"protocol": "Tcp",
"sourcePortRange": "*",
"destinationPortRange": "22",
"sourceAddressPrefix": "192.168.1.0/24",
"destinationAddressPrefix": "*",
"access": "Allow",
"priority": 110,
"direction": "Inbound"
}
}
]
}
}使用Google Cloud SDK查询GCP防火墙规则
1、初始化Google Cloud SDK：确保你已经安装了Google Cloud SDK，并且已经通过gcloud init命令初始化了环境。
2、列出所有防火墙规则：使用以下命令可以列出项目中的所有防火墙规则。
gcloud compute firewall-rules list --format=json
3、查看特定防火墙规则详情：假设你想查看名为“allow-http”的防火墙规则详情，可以使用以下命令：
gcloud compute firewall-rules describe allow-http --format=json
4、输出示例：上述命令会返回类似如下的JSON格式数据：
{
"creationTimestamp": "2023-04-01T12:00:00Z",
"description": "Allow HTTP traffic",
"direction": "INGRESS",
"disabled": false,
"id": "fw-allow-http",
"kind": "compute#firewall",
"name": "allow-http",
"network": "default",
"priority": 1000,
"selfLink": "https://www.googleapis.com/compute/v1/projects/my-project/global/firewalls/allow-http",
"sourceRanges": [
"0.0.0.0/0"
],
"targetTags": [
"webserver"
],
"targetServiceAccounts": [],
"allowed": [
{
"IPProtocol": "tcp",
"ports": [
"80"
]
}
],
"denied": []
}解读安全组信息
Amazon EC2 Security Groups (SG)
Description: 安全组的描述。
IpPermissions: 定义了入站规则，包括端口范围、协议类型（TCP/UDP）、源IP范围等。
Ipv6Ranges: 如果使用了IPv6，这里会列出相关的IPv6范围。
PrefixListIds: 引用前缀列表ID。
UserIdGroupPairs: 引用其他安全组作为源。
OwnerId: 拥有该安全组的账户ID。
GroupId: 安全组的唯一标识符。
GroupName: 安全组的名称。
VpcId: 所属VPC的ID。
Tags: 与安全组关联的标签键值对。
Azure Network Security Groups (NSG)
id: NSG的唯一标识符。
location: NSG所在的区域。
name: NSG的名称。
type: 资源类型。
tags: 与NSG关联的标签键值对。
properties.networkInterfaces: 关联的网络接口卡列表。
properties.provisioningState: NSG的部署状态。
properties.securityRules: 安全规则列表，每个规则包含名称、属性等。
name: 规则的名称。
properties.protocol: 协议类型（TCP/UDP）。
properties.sourcePortRange: 源端口范围。
properties.destinationPortRange: 目标端口范围。
properties.sourceAddressPrefix: 源地址前缀。
properties.destinationAddressPrefix: 目标地址前缀。
properties.access: 访问权限（允许/拒绝）。
properties.priority: 规则优先级。
properties.direction: 方向（入站/出站）。
Google Cloud Firewall Rules
creationTimestamp: 创建时间戳。
description: 防火墙规则的描述。
direction: 规则的方向（入站/出站/双向）。
disabled: 是否禁用该规则。
id: 防火墙规则的唯一标识符。
kind: 资源类型。
name: 防火墙规则的名称。
network: 所属网络的名称。
priority: 规则优先级。
selfLink: 防火墙规则的自链接URL。
sourceRanges: 源IP地址范围。
targetTags: 目标标签列表。
targetServiceAccounts: 目标服务账户列表。
allowed: 允许的规则列表，包括协议和端口范围。
denied: 拒绝的规则列表。
FAQs及答案
Q1: 如何更改已有安全组的规则？
A1: 根据所使用的云服务提供商的不同，操作略有不同，以下是一些常见的方法：
AWS EC2: 你可以使用AWS管理控制台、AWS CLI或API来编辑现有的安全组规则，使用AWS CLI更新安全组规则：
aws ec2 revoke-security-group-ingress --group-id sg-1234567890abcdef0 --ip-permissions '[{"FromPort":80,"ToPort":80,"IpProtocol":"tcp","IpRanges":[{"CidrIp":"0.0.0.0/0"}],"Ipv6Ranges":[]}]'
aws ec2 authorize-security-group-ingress --group-id sg-1234567890abcdef0 --ip-permissions '[{"FromPort":80,"ToPort":80,"IpProtocol":"tcp","IpRanges":[{"CidrIp":"192.168.1.0/24"}],"Ipv6Ranges":[]}]'Azure NSG: 你可以使用Azure门户、Azure CLI或API来编辑现有的NSG规则，使用Azure CLI更新NSG规则：
az network nsg rule update --resource-group myResourceGroup --nsg-name myNSG --name rule1 --protocol tcp --source-port-range '*' --destination-port-range '80' --source-address-prefix '*' --destination-address-prefix '*' --access allow --priority 100 --direction inbound az network nsg rule update --resource-group myResourceGroup --nsg-name myNSG --name rule2 --protocol tcp --source-port-range '*' --destination-port-range '22' --source-address-prefix '192.168.1.0/24' --destination-address-prefix '*' --access allow --priority 110 --direction inbound
Google Cloud Firewall: 你可以使用GCP控制台、gcloud命令行工具或API来编辑现有的防火墙规则，使用gcloud命令行工具更新防火墙规则：
gcloud compute firewall-rules update allow-http --allowed='tcp:80' --source-ranges='0.0.0.0/0' --description='Updated to allow HTTP from anywhere' --priority=1000 --network=default --direction=INGRESS --target-tags=webserver
Q2: 我应该如何备份我的安全组设置？
A2: 备份安全组设置的方法取决于你使用的云服务提供商，以下是一些通用的方法：
导出为文件: 大多数CLI工具都支持将配置导出为JSON或YAML格式的文件，使用AWS CLI导出安全组：
aws ec2 describe-security-groups --filters Name=group-name,values=my-security-group > my_security_group.json
版本控制系统: 将配置文件存储在Git或其他版本控制系统中，以便跟踪更改历史和恢复旧版本，使用Git存储AWS安全组配置文件：
git add my_security_group.json git commit -m "Backup security group configuration"
定期备份脚本: 编写脚本定期备份安全组设置，并将其存储在安全的位置，使用cron作业在Linux系统中定期备份：
# Edit the cron job to run daily at midnight echo '0 0 * * * /usr/bin/aws ec2 describe-security-groups --filters Name=group-name,values=my-security-group > /path/to/backup/my_security_group_$(date +\%F).json' | crontab -u yourusername -e
Q3: 如果我想删除一个不再使用的安全组，应该怎么做？```json
小伙伴们，上文介绍了“服务器查询安全组详细信息”的内容，你了解清楚吗？希望对你有所帮助，任何问题可以给我留言，让我们下期再见吧。