云服务器安全组新手实录：只开必要端口，别把整台机器晾在公网上

系列说明：继云服务器新手实录、Docker 系列、AI 开发者空间初体验、密钥登录、磁盘定位之后，这篇补上新手期最容易随手放过的防线——安全组。

云服务器开通后第一件容易忽略的事，不是装什么软件，而是先看安全组放行了哪些端口。安全组相当于云上的防火墙：端口开得越多，暴露面越大；很多新手一上来图省事放行全部端口，等于把整台机器晾在公网上。

一、先看现状：默认放行了什么

到云服务器控制台的安全组页面，先看当前规则里入方向放行了哪些端口和来源。重点看三点：有没有放行全部端口的规则、有没有来源写成 0.0.0.0/0 的高危端口、有没有自己根本没在用的端口。

常见的高危组合要格外留意：22 端口（SSH）对全网放行、3306（数据库）对全网放行、6379（Redis）对全网放行。数据库和缓存服务本就不该直接暴露在公网，它们只需要在内网被应用访问。

二、只开必要的：按服务列清单再放行

动手改规则之前，先列一张清单：这台机器对外到底提供什么服务。个人练手的小站通常只需要这几类：

SSH 远程登录：22 端口，来源尽量只写自己的 IP，实在要经常换网再放宽，但不要长期对全网放行。
网站访问：80 端口和 443 端口，来源可以是全网，因为网站本来就是给人访问的。
其他服务：比如自己搭的某个面板或应用端口，用完就关，不长期挂着。

清单之外的端口一律不放行。原则很简单：不知道是干什么的端口，先关掉；服务跑不起来了，再对照着报错一个个放。

三、改完要验证：从外面扫一遍

改完规则别只在控制台看一眼就完事，要从机器外面验证一次：用另一台机器或在线端口检测工具，看该关的端口是不是真的关了、该开的端口是不是真的通了。

这里有个新手常踩的坑：安全组放行了，服务还是连不上。先别急着把规则越放越宽，依次排查：服务本身有没有在监听这个端口、服务器系统自带的防火墙有没有另外拦着、应用是不是只监听了 127.0.0.1 而不是 0.0.0.0。安全组只是第一道门，门开了、屋里的服务没起，照样进不去。

四、养成习惯：定期回头看一眼

安全组不是配一次就一劳永逸的。每次新装一个要对外提供服务的应用、每次做完调试临时放行了端口，都要记得回头收尾：调试用的临时放行规则用完就删，长期规则定期复查一次。

小结：先看清现状、再按清单只开必要端口、改完从外面验证、定期复查收尾。安全组配得严一点，日常用起来几乎没有差别，但出问题时的暴露面会小得多。

评论区聊聊：你第一次配安全组时，有没有随手放行过全部端口？