后端云服务器的访问控制

同所有云服务器一样，负载均衡的后端服务器实例可以通过安全组进行访问控制，起到防火墙的作用。可将一个或多个安全组与后端云服务器关联，并对每个安全组添加一条或多条规则控制服务器的流量访问权限。您可以随时修改某个安全组的规则，新规则会自动应用于与该安全组关联的所有实例。

您可使用安全组使后端实例仅接收来自负载均衡的流量，也可以控制其可以接收其他来源的流量。但需要注意的是，必须确保实例的安全组允许负载均衡在对应监听器端口和运行状况检查端口上与后端实例进行通信。在 VPC 中，您的安全组和网络 ACL 必须在这些端口上允许两个方向的流量。

负载均衡安全组的推荐规则

云服务器流量来源	安全组配置
客户端远程访问，登录 KEC	Linux 安全组放通22端口 Window 安全组放通3389端口
负载均衡转发流量	私网：用户开通SNAT，进行源地址转换时，对于通过vpc的私网负载均衡请求而言，后端云服务器看不到客户端 IP 地址。此时需要将负载均衡 VIP 加入到安全组放通规则中去。公网：创建监听器并关联云服务器后，配置云服务器的安全组，将负载均衡 VIP 加入到安全组放通规则中去。
负载均衡健康检查	私网：由于私网健康检查已经将拨测机加入到白名单，因此无需特殊配置。公网：依据上一步的规则，放通 VIP 的访问即可，无需特殊配置。

1) 登录控制台，依次点击【网络】---【虚拟私有网络】---【安全组】进入安全组页面。

2) 找到对应云服务器关联的安全组，即可编辑当前关联的安全组信息。

建议用户将后端服务器安全组设置为全放通。若打开了安全组访问控制（禁止规则）功能，则需注意以下规则：

需要配置所有客户端 IP 到本云服务器实例 IP 的安全组规则。
只要开启了安全组，必须将负载均衡 VIP 加入到后端服务器的放通规则中。
对于某些恶意 IP，可以设置把恶意 IP 加在安全组前排规则，禁止其访问后端服务器。再放通所有 IP（0.0.0.0）到本机服务端口，让正常客户端可以访问。根据安全组生效规则，即可屏蔽前排的 IP。