# Группы безопасности (https://docs.h3llo.cloud/network/security-groups)

> Правила входящего и исходящего трафика для ВМ — модель правил, группа по умолчанию и лимиты.

Группа безопасности — набор правил, которые разрешают или запрещают трафик ВМ. Правила работают с отслеживанием
состояния: если входящее соединение разрешено, ответный трафик проходит автоматически.

## Группа по умолчанию [#группа-по-умолчанию]

В каждом проекте есть группа `default`. Она разрешает весь входящий и исходящий трафик. Её нельзя удалить или
переименовать. ВМ без групп безопасности тоже пропускает весь трафик.

Чтобы ограничить доступ, создайте свою группу и назначьте её ВМ вместо `default`.

## Правило [#правило]

| Поле | Значения |
|---|---|
| Направление | входящий (ingress) или исходящий (egress) |
| Действие | разрешить (allow) или запретить (deny) |
| Протокол | все, TCP, UDP, ICMP |
| Порты | диапазон портов (кроме ICMP) |
| Источник / назначение | CIDR или другая группа безопасности |
| Приоритет | 1–170, по умолчанию 100 |
| Описание | до 255 символов |

## Пример: веб-сервер [#пример-веб-сервер]

| Направление | Протокол | Порты | Источник / назначение | Действие |
|---|---|---|---|---|
| входящий | TCP | 22 | ваш IP, например `203.0.113.10/32` | allow |
| входящий | TCP | 80 | `0.0.0.0/0` | allow |
| входящий | TCP | 443 | `0.0.0.0/0` | allow |
| исходящий | все | — | `0.0.0.0/0` | allow |

## Где применяются [#где-применяются]

Группы назначаются ВМ — при создании (до 5 групп) или позже в карточке ВМ. Для баз данных, балансировщиков и
кластеров Kubernetes группы безопасности пока не применяются.

## Лимиты [#лимиты]

- до 100 правил в группе;
- до 5 групп на одну ВМ;
- имя группы — до 64 символов;
- число групп в рабочем пространстве ограничено [квотой](https://docs.h3llo.cloud/quotas).