云服务器安全组：几个容易忽略的配置细节

刚开始用云服务器的时候，安全组我基本是照着教程点，能通就行。后面踩过两次坑才意识到，几个不起眼的默认值才是最容易出问题的地方。

一、默认放通全部端口

新建安全组时如果直接选了一个"全部放通"的模板，之后部署新服务就再也不会想起来收口。建议一开始就只放通确实要用的端口，后续需要再加，加端口本身只是几秒钟的事。

二、只按端口放通，没限定来源

22 端口对 0.0.0.0/0 开放，意味着全网的扫描器都能撞密码。日常维护可以改成只允许自己的出口 IP，需要临时开放时再临时加一条规则，用完删掉。数据库端口更是不要对公网开，需要访问就走内网或者跳板。

三、规则顺序和优先级没搞清

安全组规则是按顺序匹配的，先命中先生效。如果前面有一条宽的放通规则，后面再写精确的拒绝规则是没有任何作用的。排查"为什么拒绝了还是能连上"的时候，先从头看一遍有没有更宽的规则。

四、改完没验证

规则改完最好立刻从外部实测一次，能连和不能连都试一下。只改不验，很容易出现"以为收紧了其实还开着"的情况。

小结

安全组本身不复杂，难的是保持它一直是最小暴露的状态。养成新服务上线就顺手确认一次端口和来源的习惯，比事后排查省事得多。