ECS安全组收紧前先用VPC流日志核对真实放行端口

最近整理一台测试用弹性云服务器，安全组里堆了不少临时放行规则。直接删除又怕关掉仍在使用的端口。我的做法是先在对应VPC打开流日志，投递到云日志服务，观察一两小时内被接受的流量，只保留仍然出现源地址和目的端口的规则。

有两点容易忽略。安全组是有状态的，入方向放行后，回程流量一般不必再单独放开出方向，不要为了看起来对称就把出方向放得很宽。规则按优先级匹配，后面一条更宽的允许可能盖住前面的拒绝，收紧时要看整组而不是单条。

改完后，用同网段另一台机器做一次连通性探测，确认业务端口仍通、临时端口已被拒绝，再关闭流日志，避免长期产生不必要的日志费用。这个办法适合变更窗口短、又不想只靠记忆清理规则的场景。