## 操作场景若NLB实例需要正常提供服务，则**NLB实例和后端服务器**二者的安全组和网络ACL均需要放通相关的流量。本文为您介绍如何为后端服务器的安全组和网络ACL放通相关流量。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_6c369bea6153b665bf704a99d9882ae7.png =811x) NLB实例的安全组和网络ACL放通相关流量，请参考配置[配置NLB的安全组和网络ACL](https://www.volcengine.com/docs/6406/1355606)。 ## 流量说明 **安全组是有状态的。返回数据流会被自动允许，不受规则影响。** **网络ACL是无状态的。返回数据流必须被规则明确允许，即流量需要出方向和入方向均被规则明确允许。** 后端服务器关联的安全组和网络ACL需要放通流量说明如下表： * **安全组** |条件 |客户端地址 |放通流量说明 | |---|---|---| |开启放通后端安全组 |\- |后端服务器的安全组不校验NLB实例发送至后端服务器的流量，默认放通，故无需配置安全组 | |关闭放通后端安全组 |开启客户端地址保持 |客户端请求的源地址为客户端IP，健康检查请求的源地址为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通：|\ | | ||\ | | |* **NLB转发到后端服务器的访问流量**：客户端IP地址基于监听协议和后端服务器端口的流量|\ | | |* **健康检查流量**：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量 | |^^|关闭客户端地址保持 |客户端请求和健康检查请求的源地址均为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通：|\ | | ||\ | | |* **NLB转发到后端服务器的访问流量**：NLB实例所有子网网段基于监听协议和后端服务器端口的流量|\ | | |* **健康检查流量**：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量 | * **网络ACL** |条件 |客户端地址 |放通流量说明 | |---|---|---| |NLB实例与后端服务器属于相同子网 |\- |因为NLB和后端服务器属于相同子网，**NLB转发到后端服务器的访问流量和健康检查的流量**不经过网络ACL，故无需配置网络ACL： | |NLB实例与后端服务器属于不同子网 |开启客户端地址保持 |客户端请求的源地址为客户端IP，健康检查请求的源地址为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通：|\ | | ||\ | | |* **NLB转发到后端服务器的访问流量**：客户端IP地址基于监听协议和后端服务器端口的流量|\ | | |* **健康检查流量**：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量|\ | | ||\ | | |> **为方便配置和管理，建议放通出方向的全部流量。** | |^^|关闭客户端地址保持 |客户端请求和健康检查请求的源地址均为NLB的LIP地址（来自NLB实例所属子网的网段），所以需要放通：|\ | | ||\ | | |* **NLB转发到后端服务器的访问流量**：NLB实例所有子网网段基于监听协议和后端服务器端口的流量|\ | | |* **健康检查流量**：NLB实例所有子网网段基于健康检查协议和健康检查端口的流量|\ | | ||\ | | |> **为方便配置和管理，建议放通出方向的全部流量。** | ### 安全组（仅入方向规则、出方向规则无需配置） |放通后端安全组 |客户端地址保持 |优先级 |策略 |协议类型 |端口范围 |源地址 |描述 | |---|---|---|---|---|---|---|---| |开启 |\-\- |**后端服务器的安全组不校验NLB实例发送至后端服务器的流量，默认放通，故无需配置安全组** |||||| |未开启 |开启 |1 |允许 |监听协议 |服务器提供服务的端口 |客户端IP地址 |放通NLB转发到后端服务器的访问流量 | |^^|^^|1 |允许 |健康检查协议 |健康检查端口 |NLB实例所属子网网段。推荐引用[NLB实例关联的安全组](https://www.volcengine.com/docs/6406/1355606) |放通NLB健康检查流量 | |^^|关闭 |1 |允许 |监听协议 |服务器提供服务的端口 |NLB实例所属子网网段。推荐引用[NLB实例关联的安全组](https://www.volcengine.com/docs/6406/1355606) |放通NLB转发到后端服务器的访问流量 | |^^|^^|1 |允许 |健康检查协议 |健康检查端口 |^^|放通NLB健康检查流量 | ### 网络ACL |后端服务器与NLB的子网 |客户端地址保持 |规则方向 |优先级 |策略 |协议 |源地址/目的地址 |目的端口 |描述 | |---|---|---|---|---|---|---|---|---| |相同 |\-\- |**流量不经过后端服务器所在子网关联的网络ACL，故无需配置** ||||||| |不同 |开启 |入方向 |1 |允许 |监听协议 |源地址：客户端IP地址 |服务器提供服务的端口 |放通NLB转发到后端服务器的访问流量 | |^^|^^|入方向 |1 |允许 |健康检查协议 |源地址：NLB实例所属子网网段 |健康检查端口 |放通NLB健康检查流量 | |^^|^^|出方向 |1 |允许 |ALL |目的地址：0.0.0.0/0 |ALL |放通全部流量 | |^^|关闭 |入方向 |1 |允许 |监听协议 |源地址：NLB实例所属子网网段 |服务器提供服务的端口 |放通NLB转发到后端服务器的访问流量 | |^^|^^|入方向 |1 |允许 |健康检查协议 |^^|健康检查端口 |放通NLB健康检查流量 | |^^|^^|出方向 |1 |允许 |ALL |目的地址：0.0.0.0/0 |ALL |放通全部流量 |

负载均衡