- 作者：小梦
- 发表时间：2026-03-05
- 来源：原创
🛡️ 云服务器安全组配置教程：从入门到最佳实践
当您首次创建云服务器时，可能最困惑的就是“安全组”这个名词。简单来说，安全组是云上的虚拟防火墙，用于控制进出云服务器的流量。它就像您服务器的第一道大门，规则配置得当，能有效抵御网络攻击；配置不当，则可能将服务器暴露于风险之中。据统计，大多数云上安全事件源于安全组配置错误，例如将高危端口（SSH 22、RDP 3389）直接开放给所有人（0.0.0.0/0）。本文将为您系统梳理安全组配置的核心概念、实战案例与最佳实践，助您构建安全的云端防线。
🔑 一、认识安全组：云上防火墙的“交通规则”
安全组本质上是一组网络流量访问策略，由入方向（Ingress）和出方向（Egress）规则共同组成，用来控制流入/流出安全组内实例（如ECS）的流量。您可以把安全组想象成交通警察：入方向规则决定谁可以进入，出方向规则决定谁可以出去。配置安全组规则时，需要理解以下几个核心要素：
- 优先级：范围为1-100，数字越小优先级越高。当多条规则匹配时，优先级最高的规则优先生效。
- 策略：支持“允许”或“拒绝”。相同优先级下，拒绝策略高于允许策略。例如，即使有一条允许规则，但有一条优先级相同的拒绝规则匹配，流量仍会被拒绝。
- 协议端口：指定需要控制的协议（如TCP、UDP、ICMP）和端口范围。端口可以填写单个端口（如22）、连续端口（如20-21）或多个不连续端口组（如22,23-30）。
- 源地址/目的地址：在入方向规则中称为“源地址”，表示流量从哪里来；在出方向规则中称为“目的地址”，表示流量要去哪里。支持三种格式：
- IP地址/CIDR：如192.168.1.0/24，表示一个IP范围。
- 安全组ID：引用另一个安全组，表示该安全组内的所有实例。
- IP地址组/前缀列表：预定义的IP地址集合，方便多处复用。
理解这些要素后，您会发现安全组规则其实就是一句话：在某个方向上，允许或拒绝来自/去往某处的某种协议和端口的流量，并且按优先级执行。
🌐 二、实战配置：七大常见场景一次学会
安全组的默认规则通常是：入方向拒绝所有流量，出方向允许所有流量。这意味着您需要主动添加入方向规则来放行所需的访问。以下是最常用的7种场景配置示例，请注意将示例中的IP地址替换为您实际的IP。
| 场景 | 方向 | 协议/端口 | 源/目的地址 | 说明 |
|---|---|---|---|---|
| 远程登录Linux | 入方向 | TCP:22 | 您的公网IP（如 123.123.123.123/32） | ❌ 禁止使用0.0.0.0/0，否则极易遭受暴力破解 |
| 远程登录Windows | 入方向 | TCP:3389 | 您的公网IP（如 123.123.123.123/32） | ❌ 禁止使用0.0.0.0/0 |
| 对外提供Web服务 | 入方向 | TCP:80,443 | 0.0.0.0/0 (允许所有公网访问) | 这是极少数需要放通全网的场景 |
| ping测试连通性 | 入方向 | ICMP:全部 | 您的测试机器IP | 也可放通所有，但建议限制来源 |
| 内网数据库访问 | 入方向 | TCP:3306(MySQL) | 应用服务器所在安全组ID (如 sg-web) | 使用安全组作为源，实现动态管理 |
| 限制访问外部网站 | 出方向 | TCP:80,443 | 特定目的IP (如 145.117.XX.XX) | 同时需删除默认的允许所有出方向规则 |
| FTP文件传输 | 入方向 | TCP:20-21 | 您的办公网络IP | FTP协议相对老旧，建议限制来源 |
配置规则时，各大云厂商的控制台通常提供“快速添加规则”或“一键放通”功能，可快速开放常用端口。但请注意，一键放通往往默认源地址为0.0.0.0/0，建议在快速配置后手动编辑规则，将高危端口（22、3389）的源IP限制为您自己的IP。
🚀 三、进阶技巧：让安全组管理更高效
🔹 技巧1：使用安全组实现内网隔离与互通
默认情况下，同一个普通安全组内的实例是内网互通的。如果您希望实现微隔离，可以将安全组的“组内连通策略”修改为“组内隔离”。对于需要互通的端口，再单独添加规则放行，例如只允许数据库集群内的2379端口通信。如果需要实现不同安全组之间的互通（如Web组访问数据库组），可以在数据库安全组中添加一条入方向规则，源地址选择Web组的安全组ID。
🔹 技巧2：用IP/端口列表简化重复配置
当您有多个需要频繁授权的IP地址段时，可以使用“前缀列表”（IP地址组）功能。创建一个前缀列表，填入所有需要授权的IP段，然后在安全组规则中直接引用该列表。当IP段变更时，只需修改前缀列表，所有引用它的安全组规则会自动生效。同样，对于端口范围，也可以使用“端口列表”来简化管理。
🔹 技巧3：遵循最小权限原则
安全组应作为白名单使用，默认拒绝所有访问，只放行必要的端口和IP。具体包括：
- 避免高危端口全开：22、3389、8848等端口绝对不要对0.0.0.0/0开放。
- 使用跳板机：对于生产环境，建议使用专用的跳板机进行运维管理，云服务器只对跳板机的内网IP开放22/3389端口。
- 公网和内网分离：对外提供Web服务的服务器和仅内网访问的数据库服务器应属于不同的安全组。
- 生产与测试隔离：为生产环境和测试环境分别创建不同的安全组，避免测试环境变更影响生产业务。
🔹 技巧4：安全组运维管理建议
- 备份与克隆：修改生产环境的安全组前，先克隆一个安全组在测试环境调试，确保无误后再应用到生产环境。
- 导入导出规则：各大云厂商都支持安全组规则的导入导出（JSON或CSV格式），方便备份和迁移。
- 控制规则数量：单个安全组的规则数量过多会增加管理复杂度和生效时间。建议单个安全组规则不超过300条，并且尽量保持规则用途统一。
- 定期审计：使用云厂商提供的合规性检查工具（如阿里云ECS成熟度评估、云安全中心等），定期扫描是否存在高危端口全开的风险。
🔮 结语：安全无小事，规则需谨慎
安全组配置是云服务器管理的入门课，也是最重要的一课。一次错误的配置可能导致严重的安全事故。通过本文的介绍，希望您已经掌握了安全组的核心概念、常见场景的配置方法以及进阶的管理技巧。请记住云上安全的黄金法则：默认拒绝，最小授权，持续审计。在您点击“确定”按钮之前，不妨多问自己一句：这个端口真的需要对外网开放吗？这个IP段真的需要全放行吗？养成良好的配置习惯，让安全组真正成为您云上资产的守护神。
