安全组高级配置技巧包括ip白名单精细化管控、多端口合并与范围控制、内网互通双向授权、负载均衡协同及四层排错流程，并强调关闭非业务协议、数据库端口仅限内网、定期清理废弃规则。
安全组高级配置技巧
安全组不是简单“开几个端口”就完事，真正安全的配置需要策略性设计和场景化控制。
- IP白名单精细化管控：SSH（22）、宝塔面板（如8888）、数据库管理端口（如3306）绝不能填0.0.0.0/0。应填写你固定办公网络的公网IP，或使用动态DNS+脚本自动更新；家庭宽带用户可借助运营商提供的DDNS服务绑定域名，再用工具定期同步到安全组。
- 多端口合并与范围控制：避免为每个端口单独加一条规则。例如Tomcat常用8080/8089，可写成TCP:8080/8089；但注意Redis（6379）和MySQL（3306）必须严格分离，严禁合并放行——不同协议、不同风险等级的服务不可混用同一规则。
- 内网互通需双向授权：A服务器要访问B服务器的3306端口，不仅B的安全组要放行A的IP+3306，A的安全组出方向也需允许目标B的IP和端口（企业级安全组默认拒绝出站，这点极易被忽略）。
- 负载均衡与安全组协同：若用SLB/NLB转发HTTPS流量，后端ECS的安全组只需放行SLB私网IP段（如100.64.0.0/10）的443或自定义健康检查端口，而非开放0.0.0.0/0——这是防止绕过负载均衡直连后端的关键防线。
全网最详实排错手册
外网打不开、SSH连不上、网站502……90%不是代码或服务问题，而是安全组链路中断。按顺序逐层验证：
- 第一层：确认规则是否生效：登录云厂商控制台，检查对应安全组的“入方向”列表里是否有该端口规则；确认规则状态为“启用”，且优先级未被更高序号（更小数字）的拒绝规则覆盖；腾讯云/阿里云支持“规则诊断”功能，可一键检测端口可达性。
- 第二层：核对协议与端口格式：常见错误包括把UDP写成TCP（如DNS 53端口）、端口范围误写为80-80（应为80/80）、HTTP服务开了80却漏了443导致HTTPS跳转失败、宝塔面板端口在防火墙页面配了却忘了在安全组页面配（轻量服务器尤其易错）。
- 第三层：区分网络类型与作用域：经典网络和VPC的安全组规则逻辑不同；轻量应用服务器用的是“防火墙”模块，不是“安全组”模块——找错入口是新手最高频失误；华为云部分区域要求安全组必须绑定到弹性网卡，而非直接关联实例。
- 第四层：排除本地与中间链路干扰：用curl -v http://你的IP:端口测试，比浏览器更直观；在服务器本地执行telnet 127.0.0.1 端口确认服务已监听；用tcpdump -i eth0 port 端口抓包，看请求是否抵达网卡——若没抓到包，说明卡在安全组；若抓到了但服务无响应，问题在系统防火墙或应用本身。
生产环境必须做的三件事
很多事故源于“当时能用就行”的临时配置，上线前请强制完成：
- 关闭ICMP以外的所有非业务协议：禁用UDP 137-139（NetBIOS）、TCP 135/445（SMB），这些是永恒的勒索病毒入口；除非确需远程桌面，否则Windows服务器禁用3389，改用云厂商Workbench或堡垒机。
- 数据库类端口只允内网IP段：MySQL、PostgreSQL、Redis一律设置授权对象为172.16.0.0/12 或 192.168.0.0/16，绝对禁止0.0.0.0/0；如需跨VPC访问，走对等连接+安全组内网规则，不暴露公网。
- 每月清理废弃规则：删除半年未用的调试端口（如8080、9000）、离职人员IP白名单、测试环境残留规则；阿里云/腾讯云控制台支持导出规则列表为CSV，用Excel筛选“最后修改时间”快速定位冗余项。
