CloudStack的安全组

CloudStack的安全组通过网络第三层协议保证虚拟机的安全隔离。每个安全组可以设定一定的安全规则，即安全组网络的进入规则和流出规则。CloudStack默认所有出去的流量都是允许的，所用进入的流量都是禁止的。

CloudStack中提供了基于CIDR和基于账户的安全组防护规则如图所示：

如入口规则，可以选择指定协议的起始端口和结束端口，一级CIDR来允许一定网段的特定协议的特定端口来访问安全组内的虚拟机。

通过划分安全组，在网络隔离的基础上，解决VLan最多只能有4094个网络的问题（当然随着SDN技术的发展，在网络L2层也可解决这个问题）。