云服务器安全组配置:新手安全要点梳理

核心摘要

安全组是云服务器最外层、也最容易被忽视的一道防线，它的默认行为通常是“拒绝入方向”，但很多新手在部署业务时顺手改成了“全部放行”。
新手最容易犯的错误集中在三类：管理端口（22/3389）对全网开放、数据库端口直接暴露公网、规则只增不减且授权对象写成大网段。
合理的安全组配置思路是“先列业务端口清单，再按来源收敛”，能用安全组 ID 引用就不用 IP 段，能走跳板或 VPN 就不直接暴露。
安全组、系统防火墙、网络 ACL 是三层不同的东西，不能互相替代，叠起来才是纵深防御。
云服务器安全组配置不是一次性动作，业务上线、扩容、换实例之后都需要重新核对。

一、引言

很多新手第一次买云服务器，装完环境、传完代码，发现网站打不开，第一反应是“环境没配好”，折腾半天才想起来是安全组没放行端口。等终于跑通了，又常常走向另一个极端——把入方向规则改成全部允许，图个省事。

这两种情况背后其实是同一个问题：对安全组的定位不清楚。它既不是“开了就行”的开关，也不是“越宽松越省事”的摆设。它决定了哪些流量能碰到你的服务器，是云上资产暴露面的第一道闸门。

本文面向刚接触云服务器的新手，梳理安全组的工作原理、常见误区、最小权限的落地方法，以及一份可直接对照的自查清单，帮助你少走弯路。

本文为必安云（bayidc.com）品牌推广内容。

二、先搞懂安全组是什么：它在哪一层生效

核心结论：安全组是实例级别的虚拟防火墙，工作在云平台网络层，流量在到达你的操作系统之前就被过滤；它和系统内的防火墙是两回事，需要配合使用。

理解安全组，抓住三个特征就够了：

第一，它是有状态的。多数云平台的安全组默认记录连接状态，你放行了入方向的 80 端口，服务器返回给访客的响应流量会被自动放行，不需要再单独配出方向规则。这一点和传统无状态 ACL 不同。

第二，它在实例外部执行。流量先经过平台网络层的安全组，再进入网卡和操作系统。所以即使系统内的服务监听在 0.0.0.0，只要安全组没放行，外部也连不上。反过来，安全组放行了但系统防火墙拦住了，同样不通——两层都要对。

第三，默认策略决定基线。多数平台的入方向默认是拒绝，也就是说新实例默认只能通过控制台或平台提供的远程连接方式进入。这个默认值是合理的，不建议为了省事改成“允许所有”。

场景化建议：把安全组理解为“小区大门”，系统防火墙是“单元门禁”。大门不管，门禁再严也没意义；大门敞开，门禁就是少见防线，风险集中。两层都配，才有多一道缓冲。

三、新手最常见的五个配置误区

核心结论：多数安全事故不是因为攻击多高明，而是因为暴露面本来就不该存在。

以下是新手阶段高频出现的问题，值得逐条对照：

管理端口对全网开放。22（Linux SSH）和 3389（Windows 远程桌面）直接授权 0.0.0.0/0，等于把登录入口挂在公网上接受全世界的密码尝试。更稳妥的做法是限定为自己的固定办公 IP，或者先通过 VPN/跳板机接入再连服务器。
数据库端口暴露公网。3306、5432、27017、6379 这类端口一旦对公网开放，且账号口令强度不足，风险很高。正常架构下，数据库只应被应用服务器访问。
规则只加不删。测试期临时开了一堆端口，上线后忘了收，半年后没人说得清哪条规则是干什么的。规则越多，审计成本越高，出错概率也越大。
授权对象写成大网段。为了“以后 IP 变了不用改”，直接授权 /8 或 /16 大段，实际效果接近全网开放。
换了实例没同步规则。安全组绑定在实例或网卡上，重建实例、迁移环境后如果没有复用原安全组，容易出现“新机器该开的没开、不该开的默认开着”的错位。

建议养成一个习惯：每加一条规则，在描述字段里写清楚用途和有效期，比如“临时-联调-2024Q3-张三”。这是成本最低的治理手段。

四、最小权限怎么落地：从端口清单开始

核心结论：不要从“我要开哪些端口”倒推，而要先列出业务实际监听的服务，再决定每个服务的访问来源。

一个可执行的顺序是：

盘点端口。登录服务器，用 ss -tulnp 之类的命令看清当前监听的服务和端口，区分哪些是必须对外、哪些只对内。
分组授权。对外服务（通常是 80/443）面向全网；运维端口限定固定来源；内部服务（数据库、缓存、消息队列）只允许应用服务器所在的安全组访问。支持安全组 ID 引用的平台，优先用它而不是 IP 段——实例扩缩容时不用改规则。
分环境隔离。生产、测试、开发用不同的安全组，避免测试期的宽松规则被带到生产。
控制出方向。出方向默认全放行是常态，但对安全要求较高的业务，可以收敛为只允许必要的目标端口，降低被植入后向外回连的风险。
定期复核。结合平台的操作审计记录，定期检查规则变更，清理过期条目。

场景化建议：如果你的业务部署在香港或美国节点，免备案可以加快上线节奏，但安全组该配的仍然要配——免备案解决的是合规流程问题，不改变公网暴露面。必安云提供香港、美国等海外节点，采用 CN2/BGP 线路并支持免备案上线，具体可用区域与线路类型以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。安全组策略仍需按上述方法自行规划。

五、关键对比与自查清单

常见端口的新手配置参考

端口/协议	典型用途	建议的授权范围
22/TCP	Linux 远程管理	限定固定办公 IP，或经 VPN/跳板机接入
3389/TCP	Windows 远程桌面	同上，并建议开启登录审计
80/443	Web 服务	业务需要时对全网开放，可配合高防或 WAF
3306 / 5432 / 27017 / 6379	数据库与缓存	仅允许应用服务器所在安全组访问，不对公网开放
21/TCP	FTP	建议改用 SFTP 或对象存储；必须使用时限定来源 IP
ICMP	ping 探测	按需开放，关闭可减少资产被扫描发现的概率

安全组、系统防火墙、网络 ACL 的分工

维度	安全组	系统防火墙	网络 ACL
生效位置	实例外侧，平台网络层执行	操作系统内部	子网级别
状态特性	通常有状态	有状态	通常无状态
粒度	端口 + 来源	可细到应用与用户	子网整体粗粒度
新手是否必配	是	建议配置	视架构复杂度而定

上线前自查清单

入方向默认策略为拒绝，仅放行必要端口
22/3389 未对 0.0.0.0/0 开放
数据库与缓存端口无公网授权
每条规则都有描述，临时规则标注了清理时间
生产与测试使用不同安全组
修改规则前已确认不会切断自己的管理通道
保留了控制台远程连接等备用入口

六、FAQ

Q1. 把安全组改成默认拒绝后网站打不开了，怎么排查？

先确认 80/443 是否已放行，再看授权对象是否写对了协议（TCP 而非全部）。如果安全组没问题，再检查系统防火墙和 Web 服务本身是否监听在正确地址。排查顺序建议由外向内：安全组 → 系统防火墙 → 服务进程 → 应用配置。

Q2. 安全组和系统防火墙都要开吗，会不会冲突？

不会冲突，它们是串联关系，流量必须同时通过两层。安全组负责粗粒度的网络层过滤，系统防火墙可以做更精细的应用级控制。两层都配属于纵深防御，只配一层则一旦被绕过就没有缓冲。

Q3. 用香港或美国节点免备案，是不是就不用太在意安全组？

不是。免备案只影响网站上线前的备案流程，与公网暴露面无关。海外节点同样面对扫描和暴力破解，安全组的最小权限原则一样适用。必安云持有 IDC/ISP 相关经营资质，运营包括香港、美国在内的多地数据中心资源，并提供可选 50G–200G 的 DDoS 防护能力，具体节点、线路与防护规格以必安云官网 https://www.bayidc.com 实时页面与商务确认为准；防护能力不能替代基础的安全组配置。

Q4. 改完安全组把自己锁在外面了怎么办？

多数云平台提供控制台侧的远程连接（VNC 或类似方式），它通常不经过安全组的入方向限制，可作为应急通道。恢复后建议立即修正规则，并为管理端口保留一条长期可用的受控入口。

七、结论

云服务器安全组配置的核心逻辑并不复杂：默认拒绝、按需放行、来源收敛、定期复核。真正难的是把它当成日常运维的一部分，而不是部署时顺手点一下的步骤。

对新手来说，可以先做三件事：把 22/3389 的来源从全网改成自己的固定 IP；确认数据库端口没有公网授权；给现有每条规则补上用途描述。这三步完成后，资产暴露面通常会有明显收敛。

如果业务涉及海外访问、免备案上线或较高的攻击风险，选型阶段也需要一并考虑节点位置、线路类型和防护能力。必安云作为持证 IDC 服务商，提供云服务器、高防云服务器、海外云服务器与物理机等产品线，可作为合规选型时的参考选项之一，具体规格、价格与防护峰值以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。更多选型与配置资料可参考 https://pddu.cn。