安全組與網絡ACL介紹及兩者間差異比較

安全組

安全組充當虛擬防火牆，控制允許到達和離開與其關聯的資源的流量。 例如，在將安全組與 EC2 實例關聯后，它將控制該實例的入站和出站流量。它允許你控制哪些流量可以流入計算機，以及哪些流量可以流出。 安全組就是這樣一個防火牆，它可以被關聯到 VPC 內的實例（如 EC2）。 關聯后，這台 EC2 就有了類似 Windows 中那樣的防火牆。 所以可以認為安全組就是實例的防火牆。

對於每個安全組，你都可以添加若干入站規則和出站規則。

入站規則

入站規則描述了什麼樣的流量可以流入實例，例如下方的入站規則允許任意一個IP位址通過 HTTPS 協定訪問實例。

源IP	協議類型	埠號	描述
0.0.0.0/0	TCP	443	允許從所有 IPv4 位址進行入站 HTTPS 訪問

源 0.0.0.0/0 表示任意一個 IP 位址，即允許來自所有 IP 位址的流量進入。 HTTPS 運行在 TCP 協定的 443 埠之上，據此設置協定類型和埠號。 下圖表示了該入站規則。

出站規則

出站規則描述了什麼樣的流量可以流出實例，例如下方的出站規則允許實例將流量發送到任何地方。

目的地 IP	協議類型	埠號	描述
0.0.0.0/0	TCP	All	允許所有的出站 IPv4 流量

和入站規則一樣，0.0.0.0/0 表示任意一個IP位址，即允許流量流出到任何地方。 由於用戶端通常會使用一個隨機的埠接收伺服器的回應，因此該出站規則的埠範圍是 All，這樣才能覆蓋用戶端所有的隨機埠。 下圖表示了該出站規則。

需要注意的是，源和目的地不僅可以是IP位址，也可以是另一個安全組。

連接跟蹤

安全組使用連接跟蹤來跟蹤有關進出實例的流量的資訊。 安全組將基於流量的連接狀態應用規則以確定允許還是拒絕流量。 有了這種方法，安全組就具有狀態。 這意味著無論出站安全組規則如何都允許對入站流量的回應流出實例，反之亦然。

連接跟蹤有助於簡化請求回應模式的出入站規則配置。 請求回應模式常見於網路傳輸協定（如 HTTP），用戶端向伺服器發起一個請求，伺服器將回應返回給客戶端，請求和回應總是成對出現。 借助安全組的連接跟蹤特性，可以實現如下兩個效果。

入站跟蹤
如果從源發來的請求流量通過了入站規則進入實例，則隨後的回應流量在出站時會忽略出站規則直接流出。

出站跟蹤
如果從實例發出的請求流量通過了出站規則流出實例，則隨後的回應流量在入站時會忽略入站規則直接流入。

未跟蹤的連接

並不是所有的連接都會被跟蹤（有狀態）。 如果有一個安全組規則允許所有通信（0.0.0.0/0 或 ：：/0）的 TCP 或 UDP 流，而另一個方向上存在一個對應的規則允許所有埠（0-65535）的所有回應通信（0.0.0.0/0 或 ：：/0），則不會跟蹤該通信流。 下邊的例子展示了其中的一些規律。

入站規則

源IP	協議類型	埠號
203.0.113.1/32	TCP	22（SSH）
0.0.0.0/0	TCP	80（HTTP）
::/0	TCP	80（HTTP）
0.0.0.0/0	ICMP	All

出站規則

目的地 IP	協議類型	埠號
0.0.0.0/0	All	All
::/0	All	All

• 1.將會跟蹤埠 22（SSH）上流入和流出實例的 TCP 流量，因為入站規則只允許來自 203.0.113.1/32 的流量，而不是所有 IP 位址（0.0.0.0/0）。
• 2.不會跟蹤埠 80（HTTP）上流入和流出實例的 TCP 流量，因為入站和出站規則都允許所有流量（0.0.0.0/0 或 ：：/0）。
• 3.無論規則如何，始終跟蹤ICMP流量，因為不是TCP或UDP協定。
• 4.如果您從安全組刪除出站規則，則將跟蹤往返於實例上的所有流量，包括埠 80（HTTP）上的流量，因為出站規則不再允許所有IP位址。

網路 ACL

網路訪問控制清單（ACL）是 VPC 的一個可選安全層，可用作防火牆來控制進出一個或多個子網的流量。 你可以設置網路 ACL，使其規則與你的安全組相似，以便為你的 VPC 添加額外安全層。

網路 ACL 和安全組極為相似，都可作為防火牆控制流量的進出，且工作在子網級別。 因此可以認為網路 ACL 是子網的防火牆。

可設置拒絕規則

安全組使用白名單模式設置規則，每條規則都表示允許某種流量通過。 而網路 ACL 還支援黑名單模式，可以設置拒絕哪些流量通過。 例如下邊的入站規則：

規則編號	源IP	類型	協議類型	埠號	允許/拒絕	註釋
120	0.0.0.0/0	SSH	TCP	22	拒絕	拒絕所有 SSH 連接
*	0.0.0.0/0	All traffic	All	All	允許	允許所有連接

該入站規則表示拒絕所有 SSH 流量的流入，但是允許其餘所有流量。 由於同時存在允許和拒絕兩種規則，因此允許和拒絕規則間可能會存在衝突。 例如某流量在規則 1 中被允許，但在規則 2 中被拒絕。

為了解決這種衝突，網路 ACL 按照規則編號由小到大逐個嘗試。 如果流量遇到了適用的規則，則應用該規則，並停止嘗試後續規則。

安全組與網路 ACL 的差異

網路 ACL 只比安全組多了黑名單模式，即拒絕規則

安全組	網路 ACL
在實例級別運行	在子網級別運行
僅支援允許規則	支援允許規則和拒絕規則
有狀態：返回數據流會被自動允許，不受任何規則的影響	無狀態：返回數據流必須被規則明確允許
會在決定是否允許數據流前評估所有規則	在決定是否允許流量時，按順序處理規則，從編號最低的規則開始
只有在啟動實例的同時指定安全組、或稍後將安全組與實例關聯的情況下，操作才會被應用到實例	自動應用於與之關聯的子網中的所有實例（因此，如果安全組規則過於寬鬆，它提供額外的防禦層）

 二者最主要的差別是安全組作用於實例（如EC2），因此每個實例都可以配置不同的安全組。而網絡ACL 作用於子網，相當於是給子網裝了一個防火牆，子網內的所有資源都會被網絡ACL 保護

如何設定AWS的NAT，VPC，EIP。

如何設定AWS的NAT

可讓您將 AWS 資源啟動到您定義的虛擬網路。這個虛擬網路與您在資料中心中操作的傳統網路非常相似，且具備使用 AWS 可擴展基礎設施的優勢。

虛擬私有雲端 (VPC) VPC 是虛擬網路，非常近似於您在自有資料中心內運作的傳統網路。建立 VPC 後，您可以新增子網NAT。

子網-子網是您的 VPC 中的 IP 地址範圍。子網必須位於單一可用區域。新增子網之後，您可以在 VPC 中部署 AWS 資源。

VPC基本概念

如收到AWS 維護通知?要如何處理? Amazon EC2 維護：計劃重啟的實例 [AWS 賬戶 ID：XXX12345]

如收到AWS維護通知?可如何進行處理。

Amazon EC2 Maintenance: Instance scheduled for reboot [AWS Account ID: XXX12345]

One or more of your Amazon EC2 instances associated with your AWS account (AWS Account ID: XXX) are scheduled for maintenance between 2023-02-13 06:00:00 UTC and 2023-02-13 08:00:00 UTC. During this time, the following instances in the ap-southeast-1 region will be unavailable and rebooted.

The affected instances are listed below: (受影響的實例)

i-123456789 (可在後台查詢這主機)

At any time before 2023-02-13 06:00:00 UTC, you can reschedule this maintenance or stop and start the instance through the AWS API, AWS CLI, or AWS Management Console. When rescheduling, you can pick any time up to 2023-02-27 06:00:00 UTC,

您都可以重新安排此維護或通過 AWS API、AWS CLI 或 AWS 管理控制台停止和啟動實例。 重新安排時。

AWS維護期間會自動重啟實例，如該時段有業務正在進行，則須於維護開始前這段時間，可自行先安排在業務可停機狀況下，對機器進行關機(STOP)及開機(START) 一定要STOP關機後再START。重開後實例的底層就會遷移-就可避開維護!

您可以等待維護如期進行。或者，您可以停止並啟動實例，這會將其遷移到新主機。有關停止實例的更多信息，以及有關停止時實例配置更改的信息，請參閱停止和啟動實例。

 at which EC2 will perform maintenance on the instance. Otherwise, you can wait for EC2 to reboot your instance during the scheduled maintenance window. For more details on how to reschedule this event as well as other alternatives to complete this maintenance see the EC2 user guide https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/monitoring-instances-status-check_sched.html#reschedule-event

You can find more information about maintenance events scheduled for your EC2 instances in the AWS Management Console 

https://console.aws.amazon.com/ec2/v2/home?region=ap-southeast-1#Events

You can also customize your event notification to include tags associated with your EC2 instances. For more information about customizing your event notifications see the EC2 user guide

https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/monitoring-instances-status-check_sched.html#customizing_scheduled_event_notifications

Traceroute 連續兩跳同一IP原因?

 Traceroute 連續兩跳同一IP的原因為何?，

如下圖，是因為數據不穩定系統自動進行連接重試，只要可到達目的IP終點就代表沒有異常

AWS 建立與VPC的傳輸閘道連接時子網路之限制

AWS 建立與VPC的傳輸閘道連接時子網路之限制

 

將 VPC 附加至transit gateway時，必須從transit gateway用來路由流量的每個可用區域中，指定一個子網路。從可用區域中指定一個子網路，可讓流量抵達該可用區域中所有子網路的資源。

 

其中在 Subnet IDs (子網路 ID) 中，為每個可用區域選取transit gateway用來路由流量的一個子網路。您必須選擇至少一個子網路。一個可用區域只能選取一個子網路

 

 

首先找到VPC

點選左邊的傳輸閘道連接

點選右邊建立傳輸閘道連接

在VPC連接的部分  下方子網路ID可以看到必須選擇至少一個子網路，一個可用區域只能選取一個子網路。

參考文檔：https://docs.aws.amazon.com/zh_tw/vpc/latest/tgw/tgw-vpc-attachments.html

GCP節費方式

 

GCP 節費方式

透過承諾使用折扣最高享57%的折扣優惠，基於資源的承諾非常適合可預測的穩定使用量。Compute Engine 允許購買以下類別的基於資源的承諾:

硬件承諾。可以為vCPU、內存、GPU、本地固態硬盤和單租戶節點等資源購買硬件承諾。如需了解詳情，請參閱購買不含附加預留的承諾使用合約和購買包含附加預留的承諾使用合約。

軟件許可承諾。可以為適用的付費操作系統(OS) 許可購買許可承諾。如需了解詳情，請參閱為許可購買承諾。

只要承諾服務的用量 1 年或者 3 年，就可以享受到最低 43 折的特別優惠。

１.需綁 1 年或 3 年

２.自行設定承諾的總 vCPU 及 memory 各別的數量

３.規格無論是 predefined 或者 custom machine 都適用 (shared core不在此行列)

４.採月結形式

採用此服務的好處是

１.承諾同一個地區(region)、型別(machine type) 或自訂 vCPU 與記憶體總量

２.不需要特別指定機器規格的數量

３.毋須任何預繳(upfront cost)

具體操作如下:

在Compute Engine中，點選「承諾使用折扣」

可查看已購買的硬體、軟體的承諾使用合約，選擇"購買承諾使用合約"

設定好區域與需要的硬體規格後，即可看到預估的費用，與可減免的折扣，按下購買與確認後，就可在上圖中看到已購買的承諾使用折扣

Google Cloud Compute Engine 承諾使用折扣參考文章:

https://ikala.cloud/committed-use-discounts/

騰訊雲CDN URL新增出現錯誤訊息514

 新增CDN有https的連線，預設應該是會有support https的連線，指下列圖示功能顯示。

域名接入 CDN 後，訪問返回出現514錯誤訊息報錯，指下列圖片。

可能發生原因:CDN 控制台設置了 “IP 訪問限頻配置” 導致。 IP 訪問限頻設置針對單 IP 單節點每秒訪問次數進行了限制，若超出限制，則會直接返回514。

處理步驟:

1.登錄 CDN 控制台，在菜單欄裡選擇【域名管理】，單擊域名右側【管理】，即可進入域名配置頁面，第二欄【訪問控制】中可看到 IP 訪問限頻配置。

2.您可以根據情況，單擊【編輯】，合理設置 IP 訪問閾值。

參考文檔: 

内容分发网络 CDN 域名接入CDN后，访问返回514-故障处理 -文档中心-腾讯云 (tencent.com)

[AWS]提高 Route 53 域名數量配額提高教學

若有需求要提高域名注冊數量限制，可依以下步驟提交原廠進行申請：

步驟1

點擊進入 Support Center

步驟2

在 AWS Support Center 頁面點選【Create case】

步驟3

點擊【Looking for service limit increases?】

步驟4

點選中間的【Service limit increase】後，下拉選擇【Route 53】及【case的緊急程度】

步驟5

下拉選擇要變更配額的項目（此案例為 Domain limit）、並填寫希望變更的配額（僅可填數字），完成後送出即可

步驟6 

提交工單後會出現剛剛申請的內容，接下來就等待原廠同意申請。

官方文檔：
https://docs.aws.amazon.com/zh_tw/Route53/latest/DeveloperGuide/DNSLimitations.html

騰訊雲CDN建立HTTPS 失敗原因

騰訊雲建立一個新的CDN時需開啟下圖的功能，才能支援HTTPS連線不然建立會失敗，

這部分是從2023年1月5日0:00:00起的調整CDN HTTPS請求數計費公告

如要查詢目前的請求數可從下圖位置中確認

參考文檔: 

https://cloud.tencent.com/document/product/228/80475

https://cloud.tencent.com/document/product/228/43799#m8%EF%BC%8C%E5%8F%AF%E5%8F%83%E8%80%83%E9%80%99%E7%AF%87%E8%AA%AA%E6%98%8E

騰訊雲CDN流量封頂設置

在騰訊雲的內容分發網路CDN中可以設定封頂用量，在達到設定額度時會有告警即超過時

會自動關閉，以避免惡意的攻擊造成流量或是頻寬滿載的情形

在CDN的域名管理中的高級配置可看到用量封頂配置，預設是關閉的，

也可點選下圖連結直接開啟

封顶配置：瞬时用量支持流量/带宽封顶；累计用量仅支持流量封顶。

流量封顶：即统计域名的流量消耗。流量阈值，为用户访问该域名的流量上限值。

(累計留量達10G-關閉服務)

带宽封顶：即统计域名的带宽消耗。带宽阈值，为用户访问该域名的带宽上限值。

(如DDOS瞬間打很高流量-設定10G.當瞬間流量達到10G，就會關閉服務。)

可設定要流量封頂或是帶寬封頂及解封時間

參考文檔: https://cloud.tencent.com/document/product/228/41733#.E6.9F.A5.E7.9C.8B.E9.85.8D.E7.BD.AE

GCP負載平衡 查看地區流量大小教學

 

欲查看GCP負載平衡流量可至監控-> Metrics Explorer 內進行查看

進入即可看到相關資訊

可依要顯示的數據進行設置

其中指標部分選擇Https - request bytes

group by 部分選擇 region

即可查看服務區各地區分組流量

 

若要依國家查看流量可在group by 中選 client_country 即可查看

若要查看各負載平衡的數據，可點選網路服務>負載平衡

選擇對應的負載平衡名稱後，選擇監控

即可查看，也可指定查看的時間與查看地區流量大小

阿里雲ICP備案到期通知，ICP備案掉了，中國ICP备案查询方法網站 (中國域名被封的緣故有什麼?怎麼查詢域名被封？)

 如收到中國公有雲(阿里或騰訊通知)-如系統掃瞄未備案-需要下線處理(不然會影響到帳號使用)

如目前業務存在違規狀況，原廠會停止加速服務也無法再新增域名。

https://www.boce.com/http

https://icp.chinaz.com/

一、域名被封的緣故有什麼?

1、選購的域名有黑史，以前進過黑屋，這種則是風險名單中的關鍵檢測目標。

2、QQ和微信是2種完全不一樣的檢測體制，常常會發生一邊被封另一邊沒事兒的情況。

3、網站訪問量過大，騰訊官方對於總流量過大的平台也是關鍵檢測的目標。

4、誘發分享主題活動，即使是合理合法營銷推廣，也會被封。

5、文章正文、文章標題、圖片隨意有一處有一點點違反規定信息內容，被系統軟件爬取到也是會被封禁。

6、被人檢舉，這也是域名被封的一大因素。

7、有些是封鏈接不封域名，由於是騰訊官方協作的第三方平台，例如京東商城、拼多多平台、有贊微商城這些。

8、服務器IP也是一個很關鍵的原因。

9、針對顯著特點或重複使用度提高的違反規定圖片，系統軟件是能鑑別的。

域名被封有哪幾種情況，如何解決？

域名在國外域名註冊商註冊。帶有敏感信息的網站域名可能會被屏蔽。這種情況經常發生。要判斷域名是否被屏蔽，可以通過排除服務器問題，通過代理訪問等方式進行檢查。如果可以在國外打開，但在國內不能打開，就會被屏蔽。域名被封如何解決？讓我們看看。

1.更換服務器空間。

另一種情況下，屏蔽是直接密封IP。您還可以使用代理訪問來測試IP是否被屏蔽。如果可以在國外打開，但在國內無法打開，那就是IP被屏蔽。 IP被屏蔽很容易。請聯繫主機提供商更改IP。一般來說，如果出現IP被屏蔽，他們可以發送電子郵件，讓他們免費換IP地址。

2.更換國內DNS

如果域名是由外國註冊商註冊的，他們中的大多數人會遇到被屏蔽的現象，有時是間歇性屏蔽，有時持續很長時間。面對這種情況，國外註冊域名的老站長已經習慣了。互聯網上有許多解決方案，即更換國內DNS，如阿里雲的DNS服務器，可以解決被屏蔽的問題。

3.網站被黑

這種情況是網站被屏蔽最常見的情況。許多網站在安全方面粗心大意，導致被黑客植入大量的病毒信息。例如，一些常規網站在進入後會發現有賭博信息並調整到賭博網站，這些信息通常被黑客入侵和植入。

在這種情況下，首先清除非法內容，然後向搜索引擎提交快照更新，以防止用戶通過快照獲取非法內容。第三，檢查網站程序和服務器安全設置，填補漏洞，加強網站安全。同時，尋找空間服務提供商，尋求雲安全援助，進一步加強安全保護。以上就是有關域名被封的幾種情況及解決辦法

AWS EC2 重啟後檔案消失問題? instance store volume 臨時塊級存儲 EC2 What happens when you stop an instance?

 

EC2主機，LINUX 本來為新更改版本..之後重開機後?發現檔案消失

重啟後卻變回以前的檔案

/usr/src ：這是放置核心原始碼的預設目錄；

該台 EC2 如有 Stop 再 Start 的紀錄，且 EBS 路徑為 /sda1 和 /sdf，確認路徑 /src 是否為執行個體存放區磁碟(instance store volume)這部份是暫時的.重開機或休眠存儲塊都被重置資料消失。(要特別留意)

如果是的話，當Stop EC2 時，執行個體存放區磁碟中存儲的資料將丟失，無法恢復。

如果該台 EC2 的 AMI 或 EBS Snapshot,就可進行恢復資料。

Aws Support 或許能復原部分資料，但對執行個體存放區中的資料進行復原通常不可行。

參考資料:

若您停止執行個體會如何LINUX主機

https://docs.aws.amazon.com/zh_tw/AWSEC2/latest/UserGuide/Stop_Start.html#what-happens-stop

Amazon EC2 執行個體常見問答集 

https://aws.amazon.com/tw/instance-help/

Instance Store Storage 是 temporary storage (暫時的硬碟)，所以當ec2 terminates時 ，Instance Store Storage就消失。

AWS EC2 Instance Store Storage

https://jayendrapatil.com/aws-ec2-instance-store-storage/

 EC2 實例存儲

實例存儲為Elastic Cloud Compute – EC2實例提供臨時或臨時塊級存儲。

位於物理連接到主機的磁盤上。

由一個或多個實例存儲卷組成，這些卷公開為塊設備。

實例存儲的大小因實例類型而異。

例如，虛擬設備存儲臨時 [0-23] 卷，第一個從臨時 0 開始，依此類推。

雖然實例存儲專用於特定實例，但磁盤子系統在主機上的實例之間共享。

非常適合臨時存儲頻繁更改的信息，例如緩衝區、緩存、暫存數據和其他臨時內容，或者用於跨實例隊列複製的數據，例如負載平衡的 Web 服務器池。

提供非常高的隨機 I/O 性能，對於延遲要求非常低的存儲來說是一個不錯的選擇，但您不需要在實例終止時保留數據，或者您可以利用容錯架構。

實例存儲生命週期

實例存儲數據的生命週期取決於它所附加的實例的生命週期。

實例重新啟動時，實例存儲上的數據仍然存在。

但是，如果

1.底層磁盤驅動器發生故障

2.實例終止

3.實例休眠

4.實例停止，即如果附加了實例存儲卷的 EBS 支持的實例停止

停止、休眠或終止實例會導致實例存儲中的每個存儲塊都被重置。

如果AMI是從具有實例存儲卷的實例創建的，則不會保留其實例存儲卷上的數據。

https://ithelp.ithome.com.tw/articles/10208483?sc=iThelpR

AWS EBS 、 S3 、 RDS、Storage Gateway、Instance Store Storage