安全组是云服务器被访问的前提，本质为有状态虚拟过滤层，默认拒绝所有流量，需手动添加允许规则；关键点包括默认拒绝、有状态匹配、规则优先级从上到下；必须开放22（限IP）、80/443（全网）、8888等端口需按最小必要原则配置，且仅放行入方向TCP规则，保存后即时生效无需重启。
安全组不是附加功能，而是云服务器能被访问的前提。买了CVM却打不开网站，90%以上的问题出在安全组没配对——它像一道默认关死的门，不明确告诉它“谁、从哪、走哪个口进来”，流量就进不来。
安全组的本质和工作逻辑
它不是传统防火墙，而是一个有状态的虚拟过滤层，绑定到实例后实时生效，无需重启。关键点有三个：
- 默认拒绝：新建安全组时，所有入站和出站流量都被拦截，必须手动添加“允许”规则
- 有状态匹配：只要入站流量被某条规则放行，对应的响应包会自动放行（比如你允许80端口进，返回的HTTP数据就不用再单独开出口）
- 规则优先级：规则按列表顺序从上到下匹配，一旦命中即停止，后面规则不再执行；所以高频或关键规则（如SSH白名单）要放在前面
哪些端口必须开？怎么开才安全？
不是所有服务都需要暴露到公网，开放原则是“最小必要+来源可控”。以下是高频场景的配置建议：
IT技术解决互联网公司网站模板
下载
IT技术解决互联网公司网站模板是一款适合提供APP设计、网页开发、SEO优化、云服务、数据分析等服务的互联网公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。
- Linux服务器必须开22（SSH）：协议选TCP，端口填22，授权对象不要填0.0.0.0/0，应限制为你的办公IP或公司出口IP段（如203.0.113.50/32 或 203.0.113.0/24）
- 网站服务必须开80和443：这两个端口面向用户，可设为0.0.0.0/0，但仅限HTTP/HTTPS用途，别混用其他服务
- 宝塔面板（8888）或自定义Web端口（如8080）：务必限制来源IP，避免被暴力扫描爆破后台
- 数据库（3306/6379）绝对不对外网开放：授权对象应填内网网段，例如172.16.0.0/16 或直接引用同VPC下的另一个安全组ID（如前端Web组允许访问后端DB组）
- ICMP（Ping）建议开启：方便排查网络连通性，协议类型选“ICMP”，端口留空即可
腾讯云CVM安全组实操四步法
从零配置一个可用的安全组，只需四个清晰动作：
- 进入腾讯云控制台 → 云服务器CVM → 找到目标实例 → 点击右侧“更多” → “安全组”
- 若已有安全组但规则不足，点击“修改规则”；若无，则点“新建或查看我的安全组详情” → 选择“放通22,80,443,3389和ICMP”模板（新手推荐），再手动增补
- 添加新规则时，重点确认三项：方向选“入方向”、协议选“TCP”、授权对象写准确CIDR（如单IP写x.x.x.x/32）
- 保存后立即生效，无需重启服务器。可通过curl -I http://你的公网IP 或 telnet 你的公网IP 80 验证是否通达
容易踩坑的几个关键细节
很多问题不是不会配，而是忽略了一些隐性约束：
- 一个CVM可以绑定多个安全组，但最终生效的是所有规则的并集——如果A组开了22端口、B组又拒绝了22端口，结果仍是拒绝（因为拒绝策略优先级高于允许）
- 安全组只管“能不能通”，不管“服务有没有起来”。即使80端口已放行，Nginx没启动或监听错地址（如只监听127.0.0.1），依然无法访问
- VPC内不同安全组的实例默认不通。若前后端部署在同一VPC但不同安全组，需在后端安全组的入站规则中添加“来源=前端安全组ID”
- 修改规则后建议清浏览器缓存或换设备测试，避免本地DNS或代理干扰判断
