最小化入站访问规则的核心是“只放行真正需要的流量”，默认拒绝一切，再按需精确开通；需按角色分步配置、添加兜底拒绝规则、绑定单一安全组并定期验证清理。

最小化入站访问规则的核心是“只放行真正需要的流量”，默认拒绝一切，再按需精确开通。这不是配置得越少越好，而是每一条规则都要有明确业务依据。

先理解默认行为和白名单逻辑

安全组默认拒绝所有入站流量，不添加任何规则=服务器完全不可访问。它不是“关闭防火墙”，而是“空策略即全拒”。所有允许规则都必须手动添加，且遵循“优先级从上到下”执行——位置越靠前的规则越先匹配，一旦命中就停止判断。

IT技术解决互联网公司网站模板

IT技术解决互联网公司网站模板是一款适合提供APP设计、网页开发、SEO优化、云服务、数据分析等服务的互联网公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。

下载

按角色分步配置入站规则

不要一次性堆砌所有端口。建议按服务角色逐条添加，并标注用途：

• Web服务：仅添加 TCP:80（HTTP）和 TCP:443（HTTPS），授权对象设为 0.0.0.0/0（面向公网）；若用 CDN 或反向代理，可进一步限制为 CDN 回源 IP 段
• 远程管理：添加 TCP:22（SSH），但授权对象绝不用 0.0.0.0/0，应填你办公网络的固定公网 IP 或 IP 段（如 203.123.45.0/24）
• 数据库访问：如需远程连 MySQL，添加 TCP:3306，授权对象只写应用服务器内网 IP（如 172.16.0.10/32），严禁对公网开放
• 监控或 API 调用：如 Prometheus 抓取、健康检查端点，单独开对应端口（如 TCP:9100），授权对象限定为监控服务器内网 IP

务必添加一条兜底拒绝规则

在所有允许规则最下方，手动加一条最高优先级的“拒绝所有”规则（协议选 ALL，端口 -1，源地址 0.0.0.0/0），确保未被显式放行的任何请求都被拦截。这条规则不是多余，而是防止后续误操作漏掉某条规则时出现策略缺口。

绑定与验证要点

• 一台服务器只绑定一个安全组，避免多组叠加导致策略难以追溯
• 规则修改后立即生效，无需重启服务器
• 配置完立刻用外部机器 telnet 或 curl 测试：能通的端口必须有对应规则，不通的端口不能有冗余规则
• 定期导出当前规则列表，对比业务清单，删除已下线服务对应的旧规则（例如停用的测试端口 8080）