阿里云分销商开户 安全组规则设置

你有没有试过：刚配好一台云服务器，兴冲冲敲下ssh -p 22 [email protected]，结果弹出一句冷冰冰的Connection refused？或者网页明明部署好了，浏览器却显示“无法访问此网站”？别急着重装系统、别慌着联系客服——八成，是你的安全组规则，在默默扮演“铁面门神”，把你自己也拦在了门外。

安全组（Security Group），听名字高大上，其实它就是云服务器的“电子门禁卡”。不是密码，不是防火墙软件，更不是什么玄学黑科技。它是一张写在云端的、由你亲手填写的《访客登记表》。谁来？从哪儿来？想干啥？能待多久？——全靠这张表说话。可惜，很多人填表时随手打了个0.0.0.0/0，以为“全放行”很豪气，结果要么把自己关在外面，要么把黑客请进了客厅。

今天咱们不讲概念堆砌，不列枯燥参数，就拿你家楼下那个老保安王师傅当参照系，把安全组规则掰开揉碎，泡进茶里慢慢喝。

一、王师傅的门禁本：安全组到底管什么？

想象你租了栋新写字楼的15楼办公室。物业说：“楼层入口有统一门禁，但每家公司还能再加一道自家闸机。”——云服务器的安全组，就是这道“公司级闸机”。它不关心你电脑里装没装杀毒软件，也不管你nginx配置对不对，它只做一件事：在数据包抵达网卡前，粗暴地拦住或放行。

注意关键词：抵达网卡前。这意味着：它比操作系统更早介入，比iptables更外层，比应用层日志更原始。一个HTTP请求还没触碰到你的Nginx进程，安全组已经把它拍死在门口了。所以，排查连不上服务器，第一步永远不是查服务是否启动，而是翻安全组——就像你打不通前台电话，先确认自己是不是连大楼大门都没进得去。

二、两张登记表：入站（Ingress）与出站（Egress）

王师傅的门禁本分两页：一页记“谁准进”，一页记“谁准出”。安全组也是。

• 入站规则（Ingress）：别人想连接你，必须在这页找到匹配项。比如你开了Web服务，就得加一条“允许TCP 80端口，来源IP为任意（0.0.0.0/0）”。
• 出站规则（Egress）：你想主动连别人，也得在这页报备。比如服务器要调用微信支付API，就得加一条“允许TCP 443端口，目标IP为api.mch.weixin.qq.com对应段”。

很多人忽略出站规则，觉得“我只提供服务，不主动上网”。但现实很骨感：yum更新、curl拉配置、甚至systemd-timesyncd校时，全都要走外网。某次线上故障，运维小李死活查不出为啥服务器时间慢了3分钟——最后发现，安全组出站规则只放行了80/443，把UDP 123（NTP端口）堵死了。王师傅可不管你要对时，他只认登记表。

三、四要素定生死：协议+端口+源/目标+CIDR

每条规则就像一张工单，必须填满四个字段：

1. 协议：TCP（稳重的老干部）、UDP（快闪的快递员）、ICMP（喊话的通讯员）。别瞎选“ALL”，除非你真想让ping、traceroute、DNS查询、SIP通话全开——那等于把门禁换成旋转门，还拆了玻璃。
2. 端口范围：别再写“22”就完事！写成22只放行单个端口；写成80-8080放行一大片；写成-1（某些平台）或0-65535？恭喜，你已授予“端口自由通行权”，黑客最爱这种慷慨。
3. 源/目标IP：这是最常翻车的地方。写0.0.0.0/0=全世界都能来。写192.168.1.100/32=仅这台电脑能连。写10.0.0.0/8=整个内网畅通。记住：/32是单IP，/24是256台机器，/16是6万5千台——别把测试环境的/24误抄到生产环境。
4. CIDR掩码：不是IP地址的后缀，是网络划分的尺子。/32=精确到个位，/24=前24位固定（即192.168.1.x全段）。不会算？用在线计算器，或直接记口诀：“/24≈一个C类网，/16≈一个B类网，/8≈一个A类网”。

四、王师傅的潜规则：规则不是并列，是排队！

你以为规则按你添加顺序执行？错。安全组规则是自上而下逐条匹配，一旦命中，立刻执行（允许或拒绝），不再往后看。这就引出两个经典陷阱：

陷阱一：拒绝规则挡在允许前面
你写了：第1条 拒绝所有TCP；第2条 允许TCP 80。结果——全拒。王师傅看到第一个“拒访名单”上有你名字，直接挥手：“下一个！”压根不看你后面那张VIP邀请函。

陷阱二：默认隐含“全部拒绝”
多数云平台（阿里云、腾讯云、AWS）默认：入站和出站都无规则=全拒。不是“全放”，是“全锁”。新人常犯的错：删光规则图清爽，结果服务器变砖头。王师傅的本子上没写你的名字？对不起，禁止入内——哪怕你是老板。

五、血泪现场：那些年我们填错的安全组

Case 1：SSH失联惨案
开发者A部署完服务器，顺手把安全组入站规则删了重配，只留了一条：TCP 22，源IP 192.168.1.0/24。他家WiFi正是192.168.1.x段，连得飞起。第二天出差用手机热点（IP变成100.64.x.x），再连？Connection timed out。他反复重启sshd、检查密钥、重置密码……折腾六小时，最后发现：安全组只认“家里网”，不认“外面网”。解决方案？加第二条：TCP 22，源IP 你的公网IP/32（用手机查自己当前IP），或临时开0.0.0.0/0（用完立刻关！）。

Case 2：HTTPS页面打不开
前端同学反馈“HTTPS打不开，HTTP可以”。查Nginx配置，443端口监听正常，证书也OK。抓包一看：TCP三次握手到一半就断了。终于想起——安全组只开了80，忘了开443！更坑的是，有些平台安全组界面默认只显示常用端口（80、443、22），443得手动输入。王师傅说：“你没填443，我就当你不需要https。”

Case 3：数据库连不上
应用日志报错：Connection refused: connect。DBA确认MySQL在跑，端口3306监听中。网络工程师说VPC内网互通。最后发现：安全组入站规则写了TCP 3306，源IP 172.16.0.0/16，但应用服务器实际IP是172.18.x.x——/16只覆盖172.16和172.17，172.18被拒之门外。王师傅的本子上写的是“172.16开头”，你家IP是“172.18开头”，抱歉，查无此人。

六、安全组自查清单（打印贴显示器边）

每次改完安全组，默念以下七问：

1. 我要访问的服务端口（22/80/443/3306…）是否在入站规则里？协议对吗（TCP还是UDP）？
2. 我的来源IP是否准确？是本地家庭宽带？公司出口？云上另一台机器？别凭记忆写，用curl ifconfig.me实时查。
3. 出站规则是否允许必要外联？yum、apt、curl、ntp、第三方API域名解析（DNS UDP 53）都放了吗？
4. 有没有“拒绝所有”的规则挡在前面？删掉或拖到最底下。
5. 有没有多条重复规则？比如两条都放行80，但其中一条源IP写错了——留着它，纯属制造混乱。
6. 规则是否绑定到正确实例？别给测试机配了生产规则，或反之。
7. 改完是否点击“保存”？（别笑，真有人点了“取消”还笃定生效了）

七、进阶心法：少即是多，动不如静

老司机的黄金准则：最小权限原则。不是“怎么方便怎么来”，而是“不加不行就不加”。

• 阿里云分销商开户 开发环境可宽些：入站开22+80+443+3000（本地调试端口），源IP用0.0.0.0/0，但加个备注：“临时开放，上线前必改”。
• 生产环境必须严：SSH只允公司办公网IP段；Web只开80/443；数据库只允应用服务器内网IP；其他端口一律关闭。
• 善用标签和描述：规则里写清楚“WordPress前端”、“MySQL主库”、“监控Agent上报”，别写“放行端口”。
• 定期审计：每月导出安全组规则，用Excel筛出所有0.0.0.0/0，挨个问：“这个真需要全球访问吗？”

最后送你一句王师傅的口头禅：“我不认识你，但我认识这张纸。纸上没你名字，你就别想进门——哪怕你是我亲儿子。”

安全组不是绊脚石，它是你掌控云上疆域的第一道主权宣言。填对一张表，胜过十次重装系统。下次再被连不上折磨时，请深呼吸，打开控制台，安静地，翻一翻那本电子门禁本。

毕竟，真正的安全感，从来不是来自“什么都防不住”，而是来自“我知道哪扇门该开，哪扇该锁死”。