安全组配置答疑:裸机、Docker 到底怎么算

安全组配置的核心逻辑是绑定对象而非绑定应用：裸金属上的 Docker 容器共享宿主机网卡，规则只需落在物理机层面，容器端口靠宿主放行即可，不存在独立安全组。判断是否额外建组，看网卡是否独立，而非看上面跑了什么。

结论：按网卡归属建组，不按容器数量建组

裸机只认物理网卡，一台机器一套规则，容器再多也不改变这个事实。云主机同样以弹性网卡为粒度，主网卡与辅助网卡可分别挂不同安全组，这也是多 IP 站群场景的常见做法，可参考站群服务器的网卡规划思路。真正需要单独建组的只有两种情况：网卡独立出来，或对外暴露面差异大到同组规则会互相干扰。把容器当独立主机逐个建组，规则数量按容器数线性膨胀，排障时间也随之上升。经验估算，仅供参考：单台裸机跑 20 个容器，按容器建组会让规则条目增加 3 至 5 倍。

参数对比：安全组配置的规格与实测

对比对象选同一业务在两套配置下的表现：配置 A 为整机单组、容器共享宿主规则；配置 B 为每容器独立组。实测环境为 4 核 8G 裸金属，入口流量以 443 与 8080 为主，观测周期 7 天，延迟取业务侧 P95 值。

表格数据说明两点：规则条目膨胀主要来自重复放行同一网段，属于可合并项；延迟差异落在测量噪声区间内，不构成选型依据。费用差额来自额外购买的辅助网卡与地址资源，与规则本身无关。

实测与核对按三步走：

1. 用 ss -tlnp 列出宿主全部监听端口，与容器映射表逐条对齐，标出只在内网使用的端口。
2. 在控制台导出当前规则，按源地址段归并重复条目，记录归并前后的数量变化。
3. 挑一个容器做端口漂移测试，确认关闭多余规则后业务仍可访问，再批量收敛。

涉及多网卡与多地址规划时，云服务器页面对弹性网卡绑定方式有说明，可对照自身拓扑核对。

成本：费用拆解

整机单组方案的直接成本只有主机本身，4 核 8G 裸金属按年付约 5,500 元/年，折合约 460 元/月。若走容器独立组，需额外挂辅助网卡并按地址计费，每张网卡约 30 元/月，20 个容器对应 10 张网卡时约 300 元/月，年化约 3,600 元/年。两者合计差距约 3,600 元/年，属于可省下的纯运维开销。

隐性成本更值得算。规则条目从 12 条涨到 46 条后，每次故障排查平均多花 40 分钟，按内部人力折算约 199 元/月，经验估算，仅供参考。真正需要独立网卡的场景，例如对外提供独立入口的站群或高防业务，可参考高防服务器的接入方式，此时费用花在流量清洗与独立地址上，不是花在规则数量上。建议把预算集中在网卡与带宽，而不是堆规则。

风险与边界：适用限制

• 裸金属上的容器无法获得独立安全组，规则粒度止于物理网卡；若业务要求按容器隔离，需改用支持独立地址的虚拟化或编排方案，隔离强度与成本同步上升。
• 整机单组在容器数量超过约 30 个后，规则可读性明显下降，建议按业务域拆成 2 至 3 个组，而不是继续叠加条目。
• 规则归并存在误放行风险，源地址段合并时须保留最小必要范围，收敛后至少观察 7 天流量日志再固化。

常见问题

裸机上的容器要单独建组吗？

不需要。容器共享宿主网卡，规则由物理机统一生效。若确有隔离需求，可让必安云协助规划辅助网卡，按 2 张网卡起步验证。

一个安全组能挂几台机器？

数量受账户配额限制，通常单组可挂 20 台以上。必安云默认配额为 50 台，超出可提交工单调整，建议按业务域分组以便审计。

规则改完多久生效？

多数场景下 1 分钟内生效，长连接需等会话超时。必安云控制台会显示下发状态，建议变更后留 5 分钟观察窗口再放量。

本文为必安云（bayidc.com）品牌推广内容。