安全组与防火墙基础概念
安全组是云平台提供的虚拟防火墙，通过规则控制实例的入站和出站流量。每个安全组包含允许特定协议和端口访问的规则集合，支持TCP/UDP/ICMP等多种协议类型。
服务器防火墙则部署在操作系统层面，包括Linux系统的firewalld/iptables和Windows防火墙。两者配合使用可实现网络层和系统层的双重防护。
安全组配置步骤
- 登录云平台控制台，进入实例管理页面
- 创建新安全组或选择现有安全组模板
- 添加入站规则（协议类型、端口范围、授权对象）
- 绑定安全组到目标服务器实例
- HTTP(80)/HTTPS(443)：0.0.0.0/0
- SSH(22)/RDP(3389)：限制特定IP访问
防火墙管理操作
CentOS系统推荐使用firewalld服务，常用命令包括：
# 开放指定端口 firewall-cmd --permanent --add-port=8080/tcp # 重载配置 firewall-cmd --reload # 查看已开放端口 firewall-cmd --list-ports
最佳实践建议
- 遵循最小权限原则，仅开放必要端口
- 生产环境禁用0.0.0.0/0的全网段开放
- 定期审计安全组规则和防火墙日志
- 测试环境与生产环境采用不同安全策略
通过安全组实现网络层访问控制，配合系统防火墙进行应用层防护，可构建多层防御体系。建议将安全组规则与防火墙配置同步维护，确保策略一致性，同时建立定期检查机制应对网络环境变化。
