限制不同交换机下的ECS间的互通
更新时间：2020-04-23 17:30:06
本文为您介绍如何通过网络ACL功能限制不同交换机下的ECS的互通关系。
前提条件
- 已经注册了阿里云账号。如还未注册，请先完成账号注册。详细信息，请参见账号注册。
- 已经创建了VPC和交换机。详细信息，请参见创建专有网络。
- 已经在交换机中创建了ECS实例。详细信息，请参见使用向导创建实例。
背景信息
某公司在云上创建了VPC，在VPC中创建了两个交换机，交换机1下创建了ECS1实例（192.168.1.206），交换机2下创建了ECS2实例（192.168.0.229）和ECS3实例（192.168.0.230）。因公司业务需要，要求ECS实例间、ECS与互联网间必须满足以下互通关系。
- 禁止ECS1实例、ECS2实例、ECS3实例与互联网互通。
- 禁止ECS1与ECS3互通。
- 允许ECS1与ECS2互通。
如上图，您可以通过自定义设置网络ACL规则，并将网络ACL与交换机绑定，实现对交换机中ECS的流量的访问控制。
配置流程图如下：
步骤一：创建网络ACL
完成以下操作，创建网络ACL。
步骤二：绑定交换机
完成以下操作，将交换机1、交换机2绑定到网络ACL。
- 登录专有网络管理控制台。
- 在左侧导航栏，单击网络ACL。
- 在顶部状态栏处，选择网络ACL的地域。
- 在网络ACL页面，找到目标网络ACL，单击操作列下的管理。
- 在已绑定资源页签下，单击关联资源。
- 在关联资源对话框，选择交换机1和交换机2，然后单击确定。
步骤三：添加网络ACL规则
完成以下操作，为网络ACL添加入方向规则和出方向规则。
步骤四：测试连通性
完成以下操作，测试ECS间、ECS与互联网间的连通性。
- 通过
ping命令分别pingECS2实例、ECS3实例、任意公网IP地址，验证通信是否正常。经验证，ECS1实例能访问ECS2实例，但不能访问ECS3实例和互联网。
图 1. ECS1实例能访问ECS2实例 
图 2. ECS1实例不能访问ECS3实例 
图 3. ECS1实例不能访问互联网 
