[Документация Yandex Cloud](../../index.md) > [Yandex Data Processing](../index.md) > [Пошаговые инструкции](index.md) > Кластеры Yandex Data Processing > Подключение > Настройка групп безопасности

# Настройка групп безопасности

Подключение к кластеру зависит от настроек групп безопасности. Убедитесь, что в правилах разрешен необходимый трафик.

{% note alert %}

При настройке групп безопасности не изменяйте [правила для служебного трафика](cluster-create.md#change-security-groups). Это может привести к неработоспособности кластера.

{% endnote %}

Настройки правил будут различаться в зависимости от выбранного способа подключения:

{% list tabs %}

- SSH

    * Для подключения к хостам подкластеров с публичным доступом из облачных сетей и интернета [настройте группы безопасности](../../vpc/operations/security-group-add-rule.md) кластера так, чтобы они разрешали входящий трафик с любых IP-адресов на порт `22`. Для этого создайте следующее правило для входящего трафика:

      * **Диапазон портов** — `22`.
      * **Протокол** — `TCP`.
      * **Источник** — `CIDR`.
      * **CIDR блоки** — `0.0.0.0/0`.

    * Для подключения к кластеру с промежуточной виртуальной машины:

      1. [Настройте группу безопасности](../../vpc/operations/security-group-add-rule.md), в которой находится ВМ, так, чтобы можно было подключаться к ВМ и был разрешен трафик между ВМ и хостами подкластеров. Для этого создайте следующие правила:

          * для входящего трафика:

              * **Диапазон портов** — `22`.
              * **Протокол** — `TCP`.
              * **Источник** — `CIDR`.
              * **CIDR блоки** — `0.0.0.0/0`.

          * для исходящего трафика:

              * **Диапазон портов** — `22`.
              * **Протокол** — `TCP`.
              * **Назначение** — `CIDR`.
              * **CIDR блоки** — диапазон адресов подсети, в которой находятся хосты кластера. Если подкластеры находятся в разных подсетях, то создайте это правило для каждой подсети.

      1. [Настройте группы безопасности](../../vpc/operations/security-group-add-rule.md) кластера так, чтобы они разрешали входящий трафик из группы безопасности, в которой находится ВМ, на порт `22`. Для этого создайте следующее правило для входящего трафика:

          * **Диапазон портов** — `22`.
          * **Протокол** — `TCP`.
          * **Источник** — `Группа безопасности`.
          * **Группа безопасности** — группа безопасности, в которой находится ВМ.

- UI Proxy

    Для использования [**UI Proxy**](../concepts/interfaces.md) [добавьте](../../vpc/operations/security-group-add-rule.md) в группу безопасности хоста подкластера правила, разрешающие входящий трафик через порт `443`:

    * **Диапазон портов** — `443`.
    * **Протокол** — `TCP`.
    * **Источник** — `CIDR`.
    * **CIDR блоки** — `0.0.0.0/0`.

    Если подключение выполняется через промежуточную ВМ, [добавьте](../../vpc/operations/security-group-add-rule.md) в группу безопасности хоста подкластера правила, разрешающие подключения через нее:

    * для входящего трафика:

        * **Диапазон портов** — `443`.
        * **Протокол** — `TCP`.
        * **Источник** — `CIDR`.
        * **CIDR блоки** — `0.0.0.0/0`.

    * для исходящего трафика:

        * **Диапазон портов** — `443`.
        * **Протокол** — `TCP`.
        * **Назначение** — `CIDR`.
        * **CIDR блоки** — диапазон адресов подсети, в которой находится хост подкластера.

- Подключение с перенаправлением портов

    Если вы используете [перенаправление портов](connect-interfaces.md#routing), [добавьте](../../vpc/operations/security-group-add-rule.md) в группу безопасности промежуточной ВМ правила, разрешающие входящий и исходящий трафик через порты требуемых компонентов:

    * **Диапазон портов** — `<порт_компонента>`.

        Номера портов для компонентов Yandex Data Processing приведены в таблице:

        | Сервис                        | Порт  |
        | ----------------------------- | ----- |
        | HBase Master                  | 16010 |
        | HBase REST                    |  8085 |
        | HDFS Name Node                |  9870 |
        | Hive Server2                  | 10002 |
        | Livy                          |  8998 |
        | MapReduce Application History | 19888 |
        | Oozie                         | 11000 |
        | Spark History                 | 18080 |
        | YARN Application History      |  8188 |
        | YARN Resource Manager         |  8088 |
        | Zeppelin                      |  8890 |

    * **Протокол** — `TCP`.
    * **Источник** — `CIDR`.
    * **CIDR блоки** — `0.0.0.0/0`.

{% endlist %}

{% note info %}

Вы можете задать более детальные правила для групп безопасности, например разрешить трафик только в определенных подсетях.

Группы безопасности должны быть корректно настроены для всех подсетей, в которых будут размещены подкластеры.

{% endnote %}

Подробнее о группах безопасности в разделе [Группы безопасности](../concepts/network.md#security-groups).