建立云主机的安全规则（通常通过安全组或网络ACL实现）是保障云上资产安全的第一步，核心遵循最小权限原则：只开放业务必需的服务和端口，并严格限制来源IP。
下面分步骤说明如何建立安全规则，虽然不同云平台（阿里云、腾讯云、AWS等）界面有差异，但逻辑完全一致。
入口路径：登录云控制台 -> 找到“VPC（专有网络）” -> 点击“安全组”。
或者：在云服务器（ECS/EC2/CVM）实例详情页的“本实例安全组”直接跳转。
1、创建新的安全组（推荐）：
- 点击“创建安全组”。
- 设置名称（Web-服务器-生产环境）。
- 选择网络类型（VPC或经典网络，现在99%都用VPC）。
- 填写描述（方便团队理解，如“对外提供Web服务的服务器组”）。
方向：重点控制入方向（Inbound）和出方向（Outbound）。
2、编辑已有安全组：
- 找到目标安全组，点击“配置规则”或“管理规则”。
第三步：配置核心的“入方向”规则（最常用）
这是阻止外部攻击的关键，你需要添加规则来放行特定流量。
常见业务规则示例：
| 协议 | 端口 | 授权对象（来源） | 说明 |
| SSH | 22 | 0.0.0.0/0 （❌ 风险高） | 绝对不要这样做！ 应替换为你自己的固定公网IP（如116.23.x.x/32）或公司出口IP段。 |
| SSH | 22 | 你的办公公网IP/32 （✅ 正确） | 只允许你办公室或家中的IP通过SSH连接。 |
| HTTP | 80 | 0.0.0.0/0 | 开放给所有用户访问网页。 |
| HTTPS | 443 | 0.0.0.0/0 | 开放给所有用户访问加密网页。 |
| MySQL | 3306 | 192.168.1.0/24 （✅ 正确） | 只允许内网其他服务器（如后端应用服务器）连接数据库。绝不能设为0.0.0.0/0。 |
| ICMP | 0.0.0.0/0 | 允许ping，用于网络连通性测试，非必须时可关闭。 | |
| RDP | 3389 | 你的办公公网IP/32 | Windows云主机远程桌面。 |
注意：
授权对象（来源IP）：填写0.0.0.0/0 表示允许任意IP访问，这是最危险的操作。
端口范围：可以写单个端口（如80）或范围（如8000-9000）。
优先级：规则从上到下生效，优先级越高越先匹配，一般默认顺序即可。
默认规则：通常云平台默认允许所有出站流量（至0.0.0.0/0），这意味着你的云主机可以主动连接任何外网地址。
强化安全（生产环境高安全要求时）：
- 删除默认的0.0.0.0/0 规则。
- 只放行特定目的地址：如只允许访问apt/yum 源服务器、官方NTP服务器、特定数据库实例。
- 只建议高级用户修改出方向，默认不改动通常不影响使用。
1、 在安全组规则配置完成后，需要关联到具体的云主机实例。
2、 操作：回到云主机列表，选择实例 -> “更多” -> “网络和安全组” -> “加入安全组”（或“更换安全组”）。
3、 一个实例可以绑定多个安全组，规则会取并集（按最高优先级和允许策略叠加）。
1、不要用0.0.0.0/0放行SSH（22）或RDP（3389）
后果：24小时被全球扫描器爆破，一旦弱密码，立刻沦陷。
解决方案：使用堡垒机或SSH密钥对登录；如果必须密码登录，严格限制来源IP。
2、不要放行全端口（如1-65535）
后果：任何恶意服务都能轻松连接你的主机。
解决方案：明确只开你需要使用的端口（80,443,22,3306...）。
3、遵循“默认拒绝，明确放行”原则
- 安全组默认规则是阻止所有入站流量，你每添加一条规则都是在“开一个口子”，只开必需的口子。
4、使用标签和分组管理
- 给安全组加上标签（如Environment: Production,Role: Web）。
- 不同业务、不同环境（开发、测试、生产）使用不同的安全组，不要混用。
5、定期审计规则
- 每隔一段时间（如每季度）检查一次安全组规则，删除不再使用的、过于宽松的规则。
| 特性 | 安全组 | 网络ACL |
| 作用范围 | 云服务器实例级别 | 子网（VPC内网段）级别 |
| 状态 | 有状态（允许出站会自动允许回应） | 无状态（需要同时配置入站和出站规则） |
| 规则 | 仅支持“允许”规则 | 支持“允许”和“拒绝”规则（可设置例外） |
| 执行顺序 | 全部规则同时生效 | 按规则编号从小到大（优先级高） |
| 适用场景 | 90%的日常场景，简单易用 | 需要设置全局黑名单（如禁掉某个IP段）、需要无状态控制的场景 |
建议：大多数用户使用安全组就足够了，只有当需求非常复杂（比如要拒绝某个特定恶意来源访问所有服务器）时，才需要配合网络ACL使用。
1、创建安全组 -> 2.添加入站规则（只开放22 给你自己、80/443 给所有人、3306 给特定内网） -> 3.关联到云主机 -> 4.测试连通性 -> 5.记录并监控规则变更。
如果你使用的是特定云平台（如阿里云、腾讯云、华为云、AWS），可以告诉我，我可以提供更具体的控制台菜单路径。
文章摘自：https://idc.huochengrm.cn/zj/25544.html
评论