安全组怎么配：给 ECS 只开真正需要的端口

前两篇笔记分别讲了沙箱里创建第一台 ECS，以及创建前先搞明白 VPC 和子网。今天落到更具体的一道门：安全组。ECS 能被谁访问，基本由入方向规则决定。我的做法只有一条：只开真正需要的端口，来源越小越好。

一、为什么安全组要最小放通

安全组是贴在 ECS 外面的一层防火墙，默认拒绝，规则是例外。每多开一个端口，就多一个可被试探的入口。管理端口一旦对全网开放，扫描和爆破很快就会找上门。如果一台机器只跑网站，就没有理由同时放通远程登录、远程桌面和数据库端口。需要什么开什么，用完收回，就是最省心的做法。

二、入方向常用端口分别对谁开放

SSH 22：Linux 远程登录，只对自己和运维人员的出口 IP 开放，最好配合密钥登录，不要对所有人开放。

RDP 3389：Windows 远程桌面，只对管理员的固定 IP 开放。没有固定 IP 时，优先走跳板机或 VPN，而不是直接暴露在公网上。

HTTP 80：网站明文入口，面向访客可以放通，但生产环境建议只用它跳转到 443。

HTTPS 443：网站加密入口，也是对外的主要入口，面向访客放通是合理的，前提是网站已做好鉴权和更新。

数据库端口，如 MySQL 3306，只应在 VPC 内网或跳板机网段放通，不要直接对公网开放。

三、源地址不要写 0.0.0.0/0 的风险与改法

0.0.0.0/0 代表全网所有地址。写在 SSH、RDP 或数据库端口上，等于把入口摆在大街上，攻击者扫到端口就会反复尝试。

改法是：管理端口写单个 IP 的 /32，如 203.0.113.10/32；办公网有固定网段就写网段；多人运维用一台跳板机集中登录。每条规则备注用途和负责人，临时规则写明到期时间，到期就删；定期清理没人用的规则，往往比新增规则更重要。

四、改完后怎么验证连通性

先从允许的来源验证该通的能通：网站能打开，SSH 能登录。再从不允许的来源验证该不通的确实不通，预期是超时或被拒绝。然后用命令辅助：curl -v 看网站状态和跳转，nc 测端口连通性，ss -tlnp 确认监听端口是否符合预期。最后观察一段时间，看登录失败记录是否减少、业务是否正常；若误关业务端口，按最小改动回滚。

五、小结

只开需要的端口，来源写得越小越好，管理端口绝不裸奔，定期复查清理。养成这个习惯，以后加新服务时，就不会图省事随手写一个 0.0.0.0/0。