配置 ECS 安全组时，把来源范围写清楚

开放一个端口包含两个决定：允许哪种流量，以及允许谁发送这种流量。只记录“已经开放管理端口”，会遗漏真正影响访问边界的来源地址。对于云上服务，规则备注应该让下一次维护的人看懂用途，而不是只留下一个数字。 ## 先写用途，再选来源 可以先整理一张小清单：服务名称、协议、目的端口、调用方、是否长期需要。面向用户的网站入口与仅供维护的管理入口，不应因为都使用 TCP 就采用相同的来源范围。华为云文档指出，来源设置为全部地址会匹配所有外部 IP；管理入口应尽量限制为已知来源。 ## 变更后保留两组证据 一组来自预期调用方，证明正常访问没有被挡住；另一组是规则清单回读，证明范围与计划一致。不要为了做反向测试而扫描不属于自己的系统。维护入口变更前还应保留已有连接，并准备原规则的恢复信息，避免把自己锁在实例外。 如果客户端公网地址会变化，应先确定稳定的访问方式，再更新来源规则。频繁增加临时规则却不记录归属，会让最小权限逐渐退化成难以解释的开放列表。规则少并不是唯一目标，每一条规则都有明确责任才更容易维护。 参考：[华为云 ECS 安全组规则说明](https://support.huaweicloud.com/usermanual-ecs/zh-cn_topic_0030878383.html)。具体变更需要结合实例现有网络拓扑评估。