腾讯云安全组“有状态”和“无状态”有什么区

有状态安全组:安全组内创建的安全组规则均为有状态规则,有状态安全组规则生效时,当一条数据流经过虚拟网卡并被安全组规则放行后,状态检测引擎会根据首个数据包的标志在状态表中新建一条会话,当后续反向数据包到达时,状态检测引擎会直接与状态表中的会话条目进行比较,匹配通过确认是同一条数据流则直接允许通过,匹配不通过则丢弃或连接被拒绝
无状态的安全组:安全组内创建的安全组规则均为无状态规则,无状态安全组规则生效时,数据包经过虚拟网卡并被安全组规则放行后,不会被记录状态信息,同一个数据流的反向数据包经过虚拟网卡时仍然需要校验安全组规则。用户创建一条无状态安全组规则时,系统将会自动计算成出向和入向两条规则并生效,避免流量只能单向通过的情况。有状态安全组规则生效时,每一条数据流经过虚拟网卡时,状态检测引擎会新建一系列会话用于跟踪状态,在高并发场景下可能会导致大量的新建连接,如果达到网络瓶颈则连接无法建立从而影响业务,因此腾讯云提供无状态安全组可供选择,可在腾讯云服务器、带宽规格不变的情况下,提供更高的网络处理能力。一般情况下建议使用有状态安全组,当腾讯云服务器需要承载高并发业务时可以选择使用无状态安全组。无状态安全组目前只在部分地域试行,后续会推广到全节点上线。

标签