国内云主机安全组怎么配置?常见端口与访问控制说明及适用场景对比?

国内云主机买回来第一件事，很多人急着装环境、传代码，安全组往往随手点个“放通全部端口”就过去了。等到某天凌晨收到异常登录告警，或者发现数据库里多了几张莫名其妙的表，才回头翻安全组规则，发现22端口对着全网开着，3306端口连密码都没设。安全组是云主机在网络层面唯一一道由你亲手控制的门禁，配好了省心，配不好就是给自己埋雷。国内几大云平台的安全组逻辑大体相通，但默认策略和细节处理各有差异，下面把配置思路、常见端口的处置方式和不同场景下的选择分开说清楚。

安全组的本质是白名单，默认拒绝才是正解

安全组是一种有状态的虚拟防火墙，控制的是实例级别的出入流量。所谓“有状态”，意思是进来的请求被允许了，出去的响应就自动放行，不需要在出方向再单独写一条规则。这个特性让配置简化了不少，你只需要关心入方向放什么进来。

国内云平台的安全组默认策略值得留意。阿里云普通安全组在未配置规则时，入方向默认允许同安全组内实例互通，拒绝其他所有入方向流量。华为云同样默认拒绝所有外部请求。这个默认姿态是对的，安全组应该按白名单方式使用：先全部关掉，再按需一条条放行必要的端口和来源。银联云和腾讯云的控制台在新建安全组时会提供“放通22、80、443、3389端口”的快捷模板，方便是方便，但模板里的22和3389默认对全网开放，直接套用等于把远程管理入口暴露给了整个互联网。

常见端口逐个说清楚该怎么放

22端口对应Linux的SSH远程登录，3389对应Windows的RDP。这两个端口是攻击扫描器最先盯上的目标，有安全团队做过统计，新开放的22端口在十五分钟内就会迎来暴力破解尝试。正确的做法是只允许你实际使用的办公网出口IP或者固定公网IP访问，而不是填0.0.0.0/0。如果团队没有固定IP，退而求其次的做法是搭建一台堡垒机或者跳板机，安全组只放行跳板机的地址，运维人员先连跳板机再内网穿透到目标机器。

80和443是Web服务的端口，面向公网提供访问，授权对象填0.0.0.0/0是合理的。但有一个容易踩的坑：如果你的业务只需要HTTPS，那80端口只用来做跳转的话，可以保留;如果完全不需要HTTP，就别把80开着。443端口对应HTTPS，同样对公网开放，注意证书部署完之后再正式启用，别让用户看到证书错误页面。

3306对应MySQL，6379对应Redis，27017对应MongoDB。这三个是数据库端口，也是最不该出现在公网安全组规则里的端口。阿里云的安全组应用指导里写得很直接：数据库、缓存等内部服务建议部署在无公网访问权限的实例上，通过授权另一个安全组来实现内网访问。具体操作是，Web层实例关联安全组A，数据库层实例关联安全组B，在安全组B的入方向添加一条规则，授权对象填安全组A的ID，端口写3306。这样只有A里面的机器能连数据库，公网来的请求在安全组层面就被挡住了。华为云文档也给出了同样的配置示例，源地址直接填安全组ID而非IP段，后续增减Web层机器时不需要逐台维护IP。

8888这类面板端口值得单独提醒。宝塔面板默认用8888，很多人装完面板顺手在安全组里开了8888对全网开放。面板的登录入口暴露在公网，弱密码被撞开只是时间问题。如果确实要用面板管理，至少把授权对象限定为你自己的IP，或者用完就关。

不同场景下的安全组策略对比

小型个人项目或者测试环境，一台机器跑所有东西。这种情况下容易图省事只用一个安全组，22和80都对着全网开。建议至少把SSH的来源改成自己的IP，Web端口保持开放。如果这台机器上还跑了MySQL给本地开发用，3306千万别放公网，用SSH隧道连过去比直接开端口安全得多。

正式的业务系统，前后端分离或者多层架构。应该按角色拆分安全组：Web层一个组，放行80和443给公网，22只给运维IP;应用层一个组，放行来自Web层安全组的业务端口，比如8080;数据层一个组，只允许应用层安全组访问3306或6379。阿里云文档明确建议公网服务和内网服务使用不同安全组，生产环境和测试环境也要分开。这种拆分的好处是规则清晰，改Web层的端口不会影响到数据库的访问控制，出问题时排查范围也小。

多台机器共用同一套服务的情况。如果几台机器都跑同样的Web服务，把它们放进同一个安全组，规则维护一次就够了。但如果其中一台额外跑了数据库，就不应该把它和纯Web机器混在同一个组里，因为安全组的规则对该组内所有实例一视同仁，没法单独给某一台做例外。华为云的建议是不同用途的实例拆分到独立安全组，避免规则复杂化。

一个可以拿来就用的配置流程

新建安全组时先不要关联任何实例。入方向规则先留空，出方向保持默认放行(普通安全组默认允许所有出方向流量，企业级安全组默认拒绝，需要按需放行)。然后按业务需要逐条添加入方向规则：Web端口对公网，管理端口对特定IP或安全组ID，数据库端口只对应用层安全组开放。规则写完之后，用测试实例关联这个安全组，从外部和内部各验证一次连通性，确认该通的通、该挡的挡住了，再把生产实例关联上去。

修改已有安全组时要小心。阿里云文档提醒，不建议直接修改生产环境的安全组，可以先克隆一份在测试环境验证规则变更的效果。如果确实要改线上的，尽量选业务低峰期操作，改完立刻从外部验证关键端口是否按预期工作。

总的来看，国内云主机安全组的配置原则并不复杂：默认拒绝，按需放行，管理端口锁死来源，数据库端口不碰公网，不同角色用不同安全组隔离。花十分钟把规则理顺，省下的是后面无数次排查异常登录和半夜救火的时间。

纵横云服务器租赁，欢迎随时联系，客服联系方式：QQ3494196421，手机微信19906048601。