华为云 ECS 安全组配置全攻略：从默认规则到最小权限实践

云服务器买回来第一件事是什么？不是装软件，而是先把安全组配好。安全组是华为云 ECS 最外层、也是最重要的一道网络防火墙：配得太松，服务器等于裸奔；配得太严，网站打不开、SSH 连不上。本文以一次真实的配置流程为例，讲清楚安全组的默认规则、常用端口放行方法，以及一套可直接照抄的最小权限实践。

一、安全组到底是什么

安全组是一种虚拟防火墙，作用在 ECS 的网卡上，按规则放行或拒绝进出实例的网络流量。它有三个关键特点：

• 有状态：放行了入方向的请求，对应的出方向回包自动放行，不用再单独配回程规则。
• 默认拒绝：没有匹配任何规则的流量一律丢弃，只放行白名单里的内容。
• 作用在实例级别：同一台 ECS 可以加入多个安全组，规则取并集；同一个安全组也可以挂给多台 ECS，改一次全部生效。

理解这三点，后面的配置就不会绕晕。

二、新建 ECS 后的默认规则长什么样

用默认配置购买 ECS 时，系统会自动创建一个安全组，常见默认规则如下：

• 入方向：放行 TCP 22 端口（Linux 远程登录）、TCP 3389 端口（Windows 远程桌面），来源为 0.0.0.0/0。
• 出方向：放行全部流量。

这套默认规则能保证你第一时间连上服务器，但它并不适合长期使用：22 和 3389 端口对全网开放，意味着任何人都可以尝试登录你的服务器，暴力破解的风险真实存在。

三、放行常用业务端口：以 Web 服务为例

假设服务器上跑了一个网站，需要对外提供 HTTP 和 HTTPS 访问，配置步骤如下：

1. 进入华为云控制台，选择「弹性云服务器 ECS」→「安全组」，找到实例绑定的安全组，点击「配置规则」。
2. 在「入方向规则」中点击「添加规则」，协议选 TCP，端口填 80，源地址填 0.0.0.0/0，优先级默认即可。
3. 再添加一条同样的规则，端口改为 443，用于 HTTPS 访问。
4. 保存后立即生效，不需要重启实例。

同理，MySQL（3306）、Redis（6379）等数据库端口是否放行，要分情况：如果数据库只给本机或同一 VPC 内的应用访问，不要在入方向放行公网访问；只允许同一安全组内或指定内网网段访问即可。

四、最小权限实践：三条可以直接落地的规则

1. 管理端口只对自己开放

把 22 或 3389 端口的源地址从 0.0.0.0/0 改成你自己的出口 IP，例如 203.0.113.10/32（/32 表示单一 IP）。如果你是动态 IP，可以放行运营商分配的小网段，或者临时放行、用完再收紧。

2. 按角色拆分安全组

不要把所有规则塞进一个安全组。推荐拆成三组：

• Web 组：放行 80、443，给前端服务器用。
• 应用组：只允许 Web 组内的实例访问应用端口（如 8080），源地址填 Web 安全组的 ID。
• 数据组：只允许应用组内的实例访问 3306、6379，源地址填应用安全组的 ID。

用安全组 ID 作为源地址，比写 IP 网段更稳：实例 IP 变了，规则依然有效。

3. 定期清理用不到的规则

项目下线、临时调试结束之后，顺手删掉当时放行的临时规则。安全组规则列表越短，审计时越容易发现问题。建议每个月花五分钟检查一次：有没有对 0.0.0.0/0 开放的高危端口（22、3389、3306、6379、27017），有没有重复或冲突的规则。

五、排障：服务起着、端口却不通怎么办

遇到这种情况，按下面顺序排查，大多数问题都能定位：

1. 先看安全组：确认入方向规则里放行了对应端口，源地址覆盖了访问方，规则优先级没有被更高优先级的拒绝规则覆盖。
2. 再看实例内防火墙：Linux 的 firewalld 或 iptables、Windows 的防火墙也可能拦截流量，确认服务端口在系统防火墙里同样放行。
3. 确认服务真的在监听：用 ss -tlnp 看服务是否监听在 0.0.0.0 而不是 127.0.0.1——只监听本地回环地址时，公网再怎么放行也访问不到。
4. 检查网络 ACL：如果 VPC 子网还配置了网络 ACL，它是无状态的，入方向放行后还要在出方向放行回包，两边都要配。

四个环节逐一确认，基本能覆盖九成以上的“端口不通”问题。

六、总结

安全组配置的核心就一句话：默认拒绝、按需放行、用完收紧。新建实例后先把 22/3389 的源地址收紧到自己的 IP，业务端口只放行业务真正需要的，数据库端口坚决不对公网开放，再配合按角色拆分安全组和定期清理，就能用最少的规则守住服务器的入口安全。安全组改动实时生效、随时可调，花十分钟配好，换来的是长期的安心。