安全组只留 22 和 443 两个口子：一台公网小服务器的最小放通实践

我的新加坡轻量服务器开机没几天，我去翻 SSH 登录日志，失败尝试已经排了长长一串——来源 IP 遍布全球，字典里的常见用户名挨个试。这台机器月租才二十几块，配置也不高，但只要它挂着公网 IP，在扫描器眼里就和任何一台生产服务器没有区别。这篇写我给它做入方向最小放通的全过程：原则、盘点、操作顺序和踩过的坑，都以华为云安全组的实际界面为准。

先说原则，就一条：入方向默认拒绝，每一个放通的端口，都要能当场说出它对应哪个服务、为什么必须对公网开放。说不出来的，要么关掉，要么改成只监听本机回环。很多人买完服务器第一件事是装环境，第二件事是随手放通一串端口方便调试，调试完就忘了关——真正出事的往往不是 22 和 443 这种天天用的口子，而是某个临时放通、后来再没人记得的端口。

第二步是盘点自己真正在用的服务。我这台机器盘下来，公网必须开的只有两个：22 给 SSH 管理，443 给对外提供的 HTTPS 服务。容易被忽略的是第三类：装在机器上的管理面板、订阅服务、监控页这类东西，它们默认会监听一个独立端口，图省事直接放通就能从公网打开后台——这类服务我一律改成只监听 127.0.0.1，再通过 443 上的服务转发出去，公网侧始终只看得到 443 一个入口。至于 UDP 服务如果确实在用，就只开放它实际使用的那一段，并写清楚用途，不整段整段地放。

第三步是操作顺序，这一步最容易把自己锁在门外。我的做法是：先在控制台把安全组入方向规则逐条导出核对，删掉默认的全放通规则，只留盘点确认过的条目；改规则的过程中，当前已经建立的 SSH 会话先不要断，另开一个新连接验证还能正常登录，再验证 443 的服务从外网可达，两个都通过才收尾。万一真把自己关在外面，也不用慌：云厂商控制台一般都提供 VNC 或 CloudShell 这类带外通道，可以重新登进去改规则——但这属于救援手段，不能因为有救援就乱改顺序。

再往后是两个进阶项。一是 22 端口限源：如果你有固定的办公网络或跳板机，把 22 的来源改成指定 IP 段，爆破日志立刻清净；经常移动办公的，可以保持密钥登录、关闭密码登录，效果类似。二是定期复查：每加一个新服务就问一遍「它需要公网入口吗」，每月顺手看一眼安全组规则列表和登录日志，规则只做减法，长期下来攻击面就维持在最小。

最后总结：安全组是状态防火墙，配置成本几乎为零，收益却是把整台机器的暴露面从「系统装了什么就是什么」收敛到「我明确批准的两个口子」。对个人小服务器来说，这大概是性价比最高的一次安全投入——不需要买任何安全产品，先把门关对。