《华为云安全组我坚持核对的三个点》

改安全组之前，我固定核对三件事：端口是否最小、来源是否收窄、变更说明是否写清用途。这三步能避免把入方向放得过宽，也能避免事后没人说得清某条规则为什么存在。

一、最小开放端口。入方向只放业务真正要听的端口。对外网站只开 80 和 443，数据库、缓存和管理后台不要直接暴露到公网。远程管理单独一条，端口按实际监听填写，不要为了省事把 1-65535 整段放开。协议也要看清，能指定 TCP 或 UDP 就不要选全部协议。同一业务如果只在固定端口提供服务，就不要再附带先放开再收的临时端口段。临时排障打开的端口，用完当天删掉，不要留在规则列表里。

二、源地址尽量收窄到已知网段，而不是 0.0.0.0/0。办公网出口、堡垒机、对端 VPC、专线或已知客户网段，写成具体 CIDR。来源越具体，误放行的面越小。IPv6 如果业务没用到，不要顺手勾上全网地址。业务端口如果必须对公网开放，也只开放该端口，并在规则描述里写明为什么不能再收窄，例如官网 HTTPS 需要对公网用户开放。管理端口尤其不要对全网开放，来源至少限制到运维网段。

三、改完用连通性测试验证，并在变更说明里记下规则用途。从预期来源测一次该通的地址和端口，确认业务访问正常；再从不应访问的网段确认被拒绝，避免只测通、不测拒。同一条变更说明里写上规则用途、对应业务、协议端口和负责人，例如订单服务入方向 443，来源为网关网段。下次审计或交接时，不用再从安全组列表里倒推。核对这三点后再点确认。