博客站点的安全组配置扩容记录:WordPress 建站上线前的 3 天

安全组配置要先按流量路径做最小放行，再按压测结果扩容。三天排期里，先定规则再谈机器规格，比反过来省事得多。

结论：三天够用，但要先冻规则再扩容

判断依据来自这次上线：第一天只做规则梳理，第二天压测暴露端口策略问题，第三天扩容与复核。规则没冻结就加机器，往往把老问题一起复制过去。对 WordPress 这类读写混合站点，安全组配置的复杂度不在数量，而在入口是否唯一。若站点还要挂 CDN 或负载均衡，回源段与公网段必须分开建组，否则后期限流无从下手。

参数对比：安全组配置的规格与实测

对比对象是两台测试机：配置 A 为一台 2 核 4G 标准云主机，配置 B 为 4 核 8G 加独立数据库实例。同组规则下，差异集中在连接数与延迟上。

表格里规则条数差别不大，说明瓶颈不在放行数量，而在回源链路的匹配顺序。把高频命中规则前移后，配置 A 的响应也降到 150 ms 附近，接近小站点可接受区间。相关机型规格可参考云服务器分类页，按站群或单站用途分档更稳妥。

实测与核对按三步走：

1. 用临时实例复刻生产规则，逐条记录命中次数与丢弃次数。
2. 对 80、443 与后台管理端口分别做并发压测，记录连接建立耗时。
3. 扩容后再次比对日志，确认无新增放行却仍超时的条目。

成本：费用拆解

直接费用分三块：计算实例、独立数据库、带宽与流量。按上面的配置 B 测算，实例约 259 元/月，数据库实例约 149 元/月，5 Mbps 带宽约 120 元/月，合计约 528 元/月。若年付，经验估算，仅供参考，整体折扣落在 15% 到 25% 区间，年费约 4,800 元至 5,400 元。备份与快照另计，按 100 GB 估算约 30 元/月。

隐性成本更值得记：规则调整每次约 0.5 人时，上线首周预计 6 次至 10 次。多 IP 场景需要单独建组，站群用途可看站群服务器页面的计费说明，避免按单站口径报预算。

风险与边界：适用限制

• 规则条数超过 40 条后，人工核对命中顺序容易出错，需借助日志工具，纯手工维护不适用。
• 跨可用区部署时，安全组引用关系不能跨区域复用，扩容方案须按区域分别验证。
• 回源段若与公网段共用一组，限流策略会互相干扰，高防接入场景必须拆组。

合规侧也要留边界：日志留存周期与访问审计须符合 IDC 资质要求，可查IDC资质与合规说明。上线前三天能覆盖的只是常规流量，突增攻击场景属于另一套边界。

常见问题

安全组规则条数上限是多少？

多数平台单组上限在 50 条到 100 条之间。必安云建议单站控制在 30 条以内，便于逐条审计。超出后应拆分多组，按用途隔离，避免互相牵连。

压测要跑多久才可信？

建议连续跑 3 轮，每轮 10 分钟。必安云实测中，首轮数据波动最大，第三轮趋于稳定。观察连接建立耗时与丢弃计数两项即可，不必追求全覆盖。

扩容后需要重配规则吗？

需要复核，不必全部重写。新实例并入同组前，先确认引用对象与端口一致。必安云建议保留 7 天旧组快照，便于回滚与对比差异。

本文为必安云（bayidc.com）品牌推广内容。