VPC安全组规则梳理：从混乱到清晰的实践笔记

在华为云上使用VPC（虚拟私有云）时，安全组是最常用的网络访问控制手段。随着业务迭代，安全组规则往往越加越多，最后没人说得清哪条能删。本文结合日常运维经验，分享一套简单的规则梳理方法。

一、先理解安全组的基本特性。安全组是有状态的：入方向放行的请求，其响应流量会自动放行，不需要再单独配置出方向规则。同一个安全组内的实例，默认可以互相通信；规则只有“允许”，没有“拒绝”，多个安全组叠加时取并集。

二、按角色划分，而不是按实例划分。建议为Web层、应用层、数据库层分别建立安全组，例如sg-web、sg-app、sg-db。数据库安全组的入方向，来源直接引用应用层安全组，而不是写具体IP，这样实例扩缩容时无需改规则。

三、遵循最小授权原则。尽量避免把22、3389、3306这类端口对0.0.0.0/0开放。运维登录建议只放行办公出口IP或堡垒机所在网段；业务端口只开放必须的几个，并在规则描述里写清用途和负责人。

四、定期梳理冗余规则。可以按以下步骤：1）导出所有安全组规则，按端口和来源排序；2）找出重复、被包含的规则，例如已有0.0.0.0/0放行80端口，又单独放行了某个IP的80端口；3）查看规则是否仍有关联实例，没有关联的安全组直接清理；4）对高危端口开放规则，结合云审计服务CTS核对变更记录。

五、变更时留好回退。修改生产安全组前，先新增规则验证业务正常，再删除旧规则，避免一次性删除导致业务中断。重要变更可以先复制一份安全组作为备份。

总结：安全组治理的关键是命名规范、分层设计、最小授权和定期复盘。把这几点做到位，既能降低安全风险，也能让后续排查网络问题轻松很多。希望这篇笔记对正在使用华为云VPC的朋友有所帮助，也欢迎交流你的踩坑经验。