新手云服务器安全组规则配置：放行规则与防火墙选择

云服务器安全组规则配置，核心不是“把常用端口全部打开”，而是明确谁能从哪里访问服务器，以及访问的是哪项服务。安全组和主机防火墙并不互相替代：前者通常在云平台网络层生效，后者在服务器操作系统内生效。合理做法是两层都启用，并让规则保持一致、可审计。

先分清安全组与主机防火墙

安全组绑定在云主机网卡或实例上，主要控制入站和出站流量。以 AWS、阿里云、腾讯云等常见云平台为例，安全组通常属于有状态过滤机制，允许某个连接后，返回流量一般不需要再单独放行；但具体行为仍应以所用平台的规则说明为准。

主机防火墙运行在操作系统内部，例如 Windows Server 的 Windows Defender 防火墙，或 Linux 系统中的 nftables、firewalld。它能按端口、协议、来源地址等条件继续限制访问。两层同时配置时，只要任意一层拒绝，连接就无法建立，因此排查问题要分别查看云平台规则和系统规则。

放行前先列出业务端口

不要从“哪些端口常用”开始，而应从“服务器实际提供什么服务”开始。常见端口的用途和风险如下：

端口	常见用途	建议
22/TCP	Linux SSH 管理	仅允许办公网络、VPN 或固定出口地址
3389/TCP	Windows 远程桌面	不建议对全网开放，优先使用 VPN 或堡垒机
80/TCP	HTTP 网站访问	只有确实提供 HTTP 服务时放行
443/TCP	HTTPS 网站访问	面向公网网站通常只开放该端口
数据库端口	MySQL、PostgreSQL 等	通常只允许应用服务器或内网地址访问

如果只是部署网站，公网入站往往只需要 80 和 443；管理端口则应限制来源。数据库没有对公网提供服务的必要时，不应添加来自 0.0.0.0/0 的规则。IPv6 环境还要单独检查 ::/0，不能只限制 IPv4 后误以为服务器已经安全。

云服务器安全组规则配置的可执行步骤

确认实例和业务。记录服务器用途、操作系统、需要开放的服务、管理人员的出口 IP，以及是否存在公网 IPv6 地址。
建立最小入站规则。先添加网站所需的 443/TCP；确有兼容需求时再添加 80/TCP。SSH 或远程桌面只填写明确的 CIDR 来源，例如企业固定公网地址，而不是直接使用全网地址。
设置出站策略。新手可先保持平台默认的允许出站，但要知道这意味着服务器可以访问互联网。对有严格隔离要求的环境，可按 DNS、软件更新、日志上报和业务依赖逐项放行，避免误伤正常运行。
同步配置主机防火墙。云端允许 443，并不代表系统一定监听 443；反过来，系统监听端口也不代表云端已经放行。两处都应只保留业务需要的端口。
从不同网络验证。用手机网络或其他可信外部网络测试网站，用受限来源测试管理端口，再检查不应公开的数据库端口是否无法连接。测试后删除临时放行规则。
记录规则用途。为每条规则写明服务、来源、负责人和失效时间。临时排障规则应设置提醒，问题解决后立即回收。

全放行、按端口放行，应该怎么选

不建议使用全端口全来源放行

“允许全部协议、全部端口、全部来源”虽然便于初次连通，却会把 SSH、远程桌面、数据库和管理接口同时暴露给互联网。端口扫描、口令攻击和错误配置的影响都会扩大。即使服务器暂时没有运行服务，也不应把全放行当作长期方案。

按服务端口放行更适合生产环境

按端口放行的优点是边界清楚、排错容易，缺点是新增服务时需要维护规则。管理端口最好使用 VPN、堡垒机或企业固定出口；如果办公网络地址会变化，可先通过安全的远程接入方式解决，不要为了省事把来源改成全网。

安全组与主机防火墙的分工

安全组：负责云网络入口的第一层筛选，适合限制公网来源、实例间访问和基础端口。
主机防火墙：负责系统内部的第二层控制，适合进一步限制本机服务和本地网络接口。
应用自身认证：负责账号、密钥、权限和会话安全，不能用开放端口规则替代。

遇到连不上时，按顺序排查

先确认服务是否正在监听目标端口，再检查服务器本机防火墙，最后查看云平台安全组、路由表和公网地址。若网站能访问但 SSH 失败，通常应重点核对 22/TCP 的来源 CIDR 和本机 SSH 服务；若内网实例互通失败，则还要检查实例所在子网、私网地址及安全组之间的引用关系。规则修改后，部分平台可能需要短暂传播时间，排查时应再次确认实际生效状态。