云服务器安全组新手入门

刚开好一台云服务器，很多人第一件事是装环境、传代码，却忘了门口还站着一位“保安”——安全组。它不管服务器里跑什么，只管哪些网络流量可以进出。配错了，要么服务连不上，要么大门敞开任人进出。

一、安全组到底管什么

安全组是一组虚拟防火墙规则，挂在云服务器的网卡上。规则分两个方向：入方向是别人能不能连进来，出方向是服务器能不能连出去。每条规则写清协议、端口和来源地址，比如“允许所有人访问 80 端口”或“只允许自己的 IP 访问 22 端口”。

新手最容易混淆的是安全组和系统里自带的防火墙。两者是叠加关系：流量要同时通过安全组和系统防火墙才能到达服务。服务连不上时，两边都要查，缺一不可。

二、新手默认配置：先关门，再按需开

新服务器的安全组默认只放行极少数端口，这是对的。正确的开门顺序是：先确认服务确实要对外提供，再开对应的端口。网站开 80 和 443，远程登录开 22，数据库不要对外开——应用和数据库在同一台机器或同一个内网时，数据库端口根本不需要暴露给公网。

最危险的配置是“全部端口向所有人开放”。一旦这么配，扫描器几分钟内就能发现你的服务器，弱口令的服务很快会被试出来。入方向规则的来源能写具体就写具体：管理端口只允许自己的出口 IP，业务端口再向所有人开放。

三、出方向也别全放开

出方向默认允许所有流量，对大多数人没问题。但如果服务器被入侵，全开的出方向会让它轻松对外发包、下载恶意程序。稳妥的做法是：出方向只放行确实需要的目标，比如软件源、对象存储和 API 地址，其余的先收紧。个人项目可以先保持默认，等熟悉后再逐步收紧。

四、改完规则怎么验证

改完安全组立刻验证，别等用户反馈才发现。验证方法很简单：从自己的电脑 telnet 或 curl 一下目标端口，通了说明规则生效；再用一个不在白名单里的网络试一次，应该连不上。两边都对，配置才算落地。

一个能直接落地的做法：网站服务器只开 80、443 和自己 IP 的 22；数据库端口不对公网开放；出方向保持默认，后续再收紧；每次改规则都当场从内外两个方向验证一次。配好这四条，服务器的门就守住了。

总结：安全组是云服务器的第一道门。默认关门、按需开门、管理端口只对自己开、改完当场验证，这四条做到位，绝大多数新手安全事故都不会发生。