华为云安全组入门：入站规则与最小权限

安全组是华为云虚拟私有云里控制云服务器访问的第一道门。它挂在弹性网卡上，按规则决定流量能否进出，和操作系统里的防火墙互相独立。弄清下面三条，日常配网就不会靠猜。第一，安全组是有状态的。入站已经放行的连接，回程包会自动放行，通常不必再写一条对称的出站规则。第二，未命中任何规则时默认拒绝。新建安全组往往只放开出站，入站要按业务逐条添加。第三，规则按优先级匹配，数字越小越先判断；同一优先级下，拒绝优先于允许。最小权限可以按角色拆组。Web 安全组只放行 80 和 443，来源写成负载均衡或指定网段，而不是 0.0.0.0/0。SSH 或 RDP 单独放进管理安全组，来源限制到堡垒机或办公网段。数据库端口不要对公网开放，只允许应用所在子网访问。修改规则后不必重启实例，但已建立的连接可能要等状态超时才会断开。

排查不通时，先看网卡绑定了哪些安全组，再看子网上的网络 ACL 有没有额外拦截。安全组管实例，网络 ACL 管子网，两者同时生效。把变更写进规则描述，后面交接会省很多时间。