弹性网卡可独立绑定安全组实现多网卡隔离管控，辅助网卡须手动绑定且不继承主网卡规则；多安全组按列表顺序匹配，高优先级生效；未绑定则默认全通，生产环境必须规避；需配合子网与路由强化路径隔离。
安全组与弹性网卡结合，是实现多网卡独立管控的核心机制。每张弹性网卡（尤其是辅助网卡）可单独绑定一个或多个安全组，不同网卡的流量策略彼此隔离，互不影响。这种设计让同一台云服务器上的业务、运维、数据同步等不同用途的网络平面，能拥有完全独立的访问控制规则。
每张弹性网卡可独立绑定安全组
主网卡默认绑定创建实例时指定的安全组，而每张辅助弹性网卡在创建后需**手动绑定安全组**——它不继承实例主网卡的安全组。绑定时可选择已有安全组，也可新建专用安全组。例如：
- 业务网卡绑定“business-sg”，只放行80/443端口和负载均衡健康检查源IP；
- 运维网卡绑定“ops-sg”，仅允许特定VPC内跳板机的SSH（22端口）和RDP（3389）；
- 同步网卡绑定“sync-sg”，只允许对端数据中心固定IP段的TCP 3306或9000端口。
安全组优先级影响匹配顺序
一张弹性网卡可绑定多个安全组，但入站/出站规则按列表顺序匹配：页面中位置靠上的安全组优先级更高。若规则冲突（如一个允许、一个拒绝），以高优先级安全组的规则为准。因此建议：
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 将通用放行规则（如内网互通）放在上方；
- 将精细限制规则（如单IP访问）放在下方；
- 避免多个安全组对同一端口设置相互矛盾的策略，否则可能引发预期外的拦截或放行。
未绑定安全组 = 默认全通，务必规避
辅助弹性网卡若未绑定任何安全组，系统默认允许所有入站和出站流量——这存在明显安全隐患。生产环境必须确保每张辅助网卡至少绑定一个明确策略的安全组。操作时注意：
- 创建弹性网卡后，立即进入其详情页的“关联安全组”页签完成配置；
- 解绑安全组前，先确认目标安全组中规则已校验无误，防止解绑瞬间策略真空；
- 主网卡必须始终绑定至少一个安全组，不可完全解绑。
配合子网与路由进一步强化隔离
安全组只控制“是否允许”，不决定“流量走哪条路径”。要真正实现多网卡业务隔离，还需配合：
- 为不同用途的弹性网卡分配不同子网（如 business-subnet、ops-subnet），各子网配置独立路由表；
- 在操作系统内为辅助网卡配置独立路由（如 via 10.0.10.1 dev eth1），确保响应包从原路径返回；
- 避免在安全组中过度依赖源IP白名单，应优先利用子网划分+安全组组合实现纵深防御。
