阿里云安全组开放端口

阿里云安全组默认拒绝所有入方向流量。阿里这句话的云安意思是，你买完ECS实例，全组部署好Nginx，开放浏览器里敲公网IP，端口转圈，阿里超时。云安不是全组服务没起来，是开放安全组根本没放行。我见过不止一个同事在这上面卡了半小时，端口反复`systemctl status nginx`，阿里查日志查到怀疑人生。云安

安全组本质是全组一层虚拟防火墙，绑定在ECS实例的开放网卡上。它有两个方向：入方向和出方向。端口出方向默认全放，入方向默认全拒。很多人第一次配的时候只加规则不测试，以为保存了就生效，其实方向选错、协议选错、授权对象填错，任何一个环节出问题，流量就是进不来。

先搞清楚协议和端口的关系

安全组规则里要选协议类型。TCP、UDP、ICMP、GRE，还有全部。选TCP的时候才能填端口范围。有人图省事直接选“全部”，端口范围自动变成-1/-1，等于把这个协议的所有端口全开了。测试环境无所谓，生产环境这么干，跟把门拆了没区别。

端口范围可以写单个，比如22；也可以写区间，比如8000/9000。斜杠前面是起始，后面是结束。注意，80和443要分两条规则，或者写80/443——但80/443这种写法会把中间所有端口都包含进去，包括你不想暴露的。所以精确写法是两条独立规则。

授权对象别乱填

授权对象填0.0.0.0/0就是全网开放。SSH的22端口如果这么配，第二天早上`lastb`就能看到几千条爆破记录。我自己的习惯是：22端口只放行公司出口IP和家里宽带IP，用`/32`精确到单个地址。Web端口80和443可以开给0.0.0.0/0，但后端管理端口比如8080、9000，一律走内网或者跳板机。

有个细节：安全组规则支持引用其他安全组。比如Web层安全组放行来自SLB安全组的流量，这样SLB的IP变了也不用改规则。比硬编码IP段省心。

优先级和规则生效逻辑

安全组规则有优先级，数字越小越优先，1到100。默认规则是拒绝所有，优先级100。你加的允许规则如果优先级是1，那就先匹配允许，后面的拒绝就不看了。但如果你加了一条拒绝规则优先级1，允许规则优先级2，那拒绝先生效。这个逻辑跟iptables不一样，iptables是从上往下匹配，安全组是按优先级排序后逐条匹配，命中即停。

实际配的时候很少去调优先级，默认新建规则优先级都是1，允许规则之间不冲突就行。但如果你要显式拒绝某个IP，就得把拒绝规则优先级设得比允许规则高。

改完规则要验证

保存规则后不用重启实例，立即生效。验证方法：本地`telnet 公网IP 端口`，或者`nc -zv 公网IP 端口`。通就是通，不通就是不通。别用ping来判断端口，ICMP和TCP是两码事。有人安全组没放ICMP，ping不通就以为实例挂了，其实SSH连得好好的。

还有一种情况：安全组放行了，但服务器内部firewalld或者iptables还在拦。阿里云安全组和系统防火墙是两层，互不感知。我一般建议要么只用安全组，系统防火墙关掉；要么两边都配，但得记住改了一边别忘了另一边。

最后说个坑。经典网络和VPC网络的安全组行为有差异。经典网络里，同一安全组内的实例默认互通；VPC网络里，默认不通，需要额外加规则。现在新买的实例基本都是VPC，所以别指望同安全组自动互通，该加的规则一条不能少。

很赞哦!（24683）