企业级安全组配置核心原则是默认拒绝所有入方向流量，每条允许规则须有明确业务依据、最小源ip范围、限定协议与端口；严禁0.0.0.0/0开放管理端口，数据库端口不得出现在入方向规则中，必须通过内网访问控制，并与网络acl、vpc路由、子网划分协同构建纵深防御。
企业级安全组配置核心原则
企业级环境不适用“全开80/443+本机IP放SSH”这种简易逻辑。安全组是第一道实例级防线，必须配合网络ACL、VPC路由、子网划分共同构成纵深防御。关键不是“怎么加规则”，而是“为什么只加这些规则”。默认策略必须为拒绝所有入方向流量；每条允许规则都要有明确业务依据、最小源IP范围、限定协议与端口；禁止使用0.0.0.0/0开放管理端口（如22、3389、宝塔面板端口）；数据库类端口（如3306、5432、6379）严禁出现在入方向规则中，只能通过内网访问控制。
分层隔离架构中的安全组定位
安全组在企业架构中属于实例粒度的**状态化虚拟防火墙**，它不替代网络ACL，也不等同于DMZ区域设计，而是与二者协同工作：
- 网络ACL部署在子网层级，无状态，用于兜底过滤（如封禁恶意IP段、阻断ICMP探测）
- 安全组绑定到ECS实例，有状态，控制具体服务端口的访问权限（如Web服务器只开80/443，且源IP限制为CDN或WAF回源段）
- DMZ区域是逻辑区域概念，通常由独立子网承载，其内的实例安全组应严格区分：前端负载均衡器可有限开放健康检查端口，后端API服务器则只允许来自负载均衡器内网IP的访问
典型业务场景配置示例
以对外官网+内网管理系统+数据库集群三组件为例：
- Web服务器（DMZ子网）：入方向仅允许TCP:80、TCP:443，源地址设为WAF公网IP段或CDN回源IP段；禁止SSH入站；出方向默认允许（或按需限制DNS/HTTPS出口）
- 应用服务器（内网子网）：入方向只允许来自Web服务器子网网段的TCP:8080/TCP:3000；SSH仅允许可信运维跳板机IP；禁止任何公网入向规则
- 数据库服务器（私有子网）：入方向仅允许应用服务器内网IP的对应端口（如TCP:3306），且建议启用白名单账号+SSL连接；完全关闭公网出入方向
落地时易被忽略的关键细节
配置完成不等于防护生效，还需验证闭环：
- 多安全组叠加时，规则是“并集”逻辑——一个实例挂载多个安全组，只要任一安全组允许某流量，即放行。避免因冗余组导致策略松动
- 企业级安全组默认拒绝所有出方向（尤其阿里云企业级安全组），若应用需调用外部API或发送邮件，必须显式添加出方向规则
- 轻量应用服务器没有安全组概念，用的是独立防火墙，配置入口完全不同，切勿在CVM页面操作
- 修改规则后无需重启服务器，但部分旧连接可能维持数分钟（TCP保活机制），建议搭配连接复位策略或短超时设置
