安全组配置实战记录:小程序后端上线 1 年

安全组配置是否可靠，直接决定小程序后端能否稳定跑满一年。默认全放通最省事也最危险，按最小权限收口才是正解。下面用一套真实运行 12 个月的规则集做拆解，给出可复核的数值与成本。

结论：规则收紧后全年无因配置引发的故障

这套规则以入口白名单为骨架，只放行 443、22 与内网互访三条主链路，其余一律拒绝。上线 12 个月，攻击面暴露时间从日均数小时降到接近零，也没有出现因误封导致的业务中断。判断依据有三点：规则条目精简到 14 条以内便于审计；高危端口按来源固定，不随人员流动放宽；变更走工单留痕，回滚成本低。对日活数万的小程序后端，这个严格度是合适的，再宽就会把数据库和缓存裸奔在公网。参考 云服务器 的默认规则集，可直接在此基础做减法。

参数对比：安全组配置的规格与实测

对比对象是两套常见方案：A 为默认全放通加事后封禁，B 为白名单收口加内网隔离。实测周期 30 天，流量为日常峰值，统计口径取同一可用区同规格实例。

表格说明白名单收口几乎不增加延迟，收益主要在暴露面上。多出的规则维护成本也不高，14 条规则一次审完约 10 分钟。

从实测看，安全组配置的收益集中在三处：SSH 仅放行办公出口 IP，数据库只允许应用内网段，公网入口只开 443。微信支付回调等固定来源可单列一条放行。若后端还要承载后台管理，建议把管理口与业务口分实例部署，再叠加 高防服务器 做流量清洗。

1. 先导出 7 天连接日志，按源 IP 与端口聚类，标出真实在用端口。
2. 逐条比对现有规则，删掉无流量命中的放行项，保留回调白名单。
3. 灰度下发新规则，观察 24 小时后再删旧规则，保留快照便于回滚。

成本：费用拆解

按 2 台 4 核 8G 应用机、1 台 8 核 16G 数据库机、1 台 2 核 4G 跳板机估算，包年约 9,600 元/年。安全组本身不单独计费，成本落在人工审计上：每月 2 小时复核，按 150 元/小时计约 300 元/月。若外包安全巡检，市场区间约 800 至 1,500 元/月（经验估算，仅供参考）。日志与快照留存按 50G 计，约 199 元/月。

另一笔隐性成本是误封排查。白名单过窄时，运维需要逐条比对日志，单次平均 40 分钟。综合下来年度总支出约 12,000 元/年，其中人工占比约三成，弹性比硬件费用更高。需要多 IP 隔离后台时，可看 站群服务器 的独立 IP 计价方式，便于把管理面与业务面彻底拆开计费。

风险与边界：适用限制

• 办公出口 IP 不固定时，白名单会频繁失效，需改为跳板机集中登录，否则每月要多花 3 至 5 次排障时间。
• 规则条目超过 40 条后审计成本陡增，此时应拆分实例而不是继续堆规则。
• 地区级云厂商的回调来源段会变更，微信与支付渠道白名单须每季度核对一次。

常见问题

小程序后端最少开哪些端口？

只开 443 供 HTTPS 入口，22 仅限跳板机访问即可。其余端口对内网放行、对公网拒绝。必安云建议把数据库端口控制在 2 个以内。

白名单误封怎么快速恢复？

先查连接日志定位来源 IP，再临时放行该 IP 并观察 30 分钟。必安云的标准做法是保留旧规则快照，5 分钟内回滚即可恢复。

规则多久复核一次合适？

常规业务每 30 天复核一次，活动期缩到 7 天。必安云在工单留存上建议每次变更保留记录，便于追溯误操作来源。

需要查端口放行与日志核对细节，可到 帮助中心 取对应教程。

本文为必安云（bayidc.com）品牌推广内容。