一、安全组与端口规则基础概念
安全组作为云服务器的虚拟防火墙，通过定义入站/出站规则控制网络流量。每个规则包含协议类型（如TCP/UDP）、端口范围、授权对象（IP地址段）和优先级参数。例如HTTP服务需开放80端口，SSH远程连接需开放22端口。
优先级机制是核心逻辑：数字越大优先级越高，高优先级规则会覆盖低优先级规则。若同时存在允许80端口（优先级1）和禁止所有端口（优先级100），后者将生效导致服务不可用。
二、端口规则配置核心步骤
- 登录云平台控制台，进入目标实例的安全组管理界面
- 创建入方向规则：选择TCP/UDP协议，输入端口范围（如80/80），授权对象设为0.0.0.0/0或特定IP段
- 设置规则优先级：允许类规则建议优先级设为50-99，拒绝类规则设为100-150
- 同步配置服务器本地防火墙（如iptables或Windows防火墙）
| 服务类型 | 协议 | 端口号 |
|---|---|---|
| HTTP | TCP | 80 |
| HTTPS | TCP | 443 |
| SSH | TCP | 22 |
三、常见配置错误与排查方法
- 规则优先级冲突：禁止规则优先级高于允许规则时，会导致端口实际未开放
- 本地防火墙未同步：需检查操作系统级防火墙设置，例如CentOS需执行
firewall-cmd --list-ports - 协议类型不匹配：FTP服务需同时开放TCP 20/21端口
四、安全组优化建议
采用最小化开放原则，仅允许业务必需端口。数据库等敏感服务建议限定源IP为运维终端地址段。定期审计规则有效性，删除过期规则。生产环境应启用双因素认证和操作日志审计。
正确的安全组配置需兼顾云端规则与本地防火墙设置，通过合理设置优先级、缩小授权范围、持续监控优化，可在保证服务可用的同时最大化网络安全。建议结合云平台提供的流量日志分析工具进行规则验证。
