CloudStack的安全组通过网络第三层协议保证虚拟机的安全隔离。每个安全组可以设定一定的安全规则,即安全组网络的进入规则和流出规则。CloudStack默认所有出去的流量都是允许的,所用进入的流量都是禁止的。
CloudStack中提供了基于CIDR和基于账户的安全组防护规则如图所示:
如入口规则,可以选择指定协议的起始端口和结束端口,一级CIDR来允许一定网段的特定协议的特定端口来访问安全组内的虚拟机。
通过划分安全组,在网络隔离的基础上,解决VLan最多只能有4094个网络的问题(当然随着SDN技术的发展,在网络L2层也可解决这个问题)。