安全组是云服务器实例级有状态虚拟防火墙，控制入站和出站流量，默认拒绝所有流量，需显式放行；核心遵循最小权限原则，建站最简入站端口为22（限IP）、80、443、宝塔面板端口。
安全组不是“开了端口就能用”的开关，而是云服务器的第一道防线。它本质是分布式虚拟防火墙，控制实例的入站和出站流量，规则生效不依赖重启，但配置错误会直接导致服务不可达或暴露风险。高可用不是靠堆机器，而是靠规则精准、策略分层、关联合理。
安全组核心逻辑与最小必要规则
入方向（Inbound）决定谁可以访问你的服务，是配置重点；出方向（Outbound）默认全放行，生产环境极少需要调整。所有规则遵循“最小权限原则”：只开放业务必需端口，禁用一切冗余入口。
建站类服务最简入站规则只有4个TCP端口：
- 22：SSH管理端口——务必限制来源IP，填你自己的固定公网IP，切勿用0.0.0.0/0；
- 80：HTTP服务端口——网站对外提供基础访问，来源可设为0.0.0.0/0；
- 443：HTTPS服务端口——启用SSL后必须开放，来源同上；
- 宝塔面板端口（如8888）：随机生成，需在宝塔后台查看并单独添加，来源建议限制为办公IP段。
主流平台实操要点（腾讯云/阿里云/轻量机）
不同平台界面命名和入口位置有差异，但底层逻辑一致。关键不是“点哪里”，而是“为什么点这里”：
- 腾讯云CVM：进实例详情页 → 【安全组】标签 → 点击安全组ID → 切换【入站规则】→ 【添加规则】；每条规则只配一个端口，类型选“自定义”，协议端口填“TCP:80”；
- 阿里云ECS：实例详情页 → 【安全组】→ 点安全组ID → 【入方向】→ 【手动添加】；授权对象填IP段（如192.168.1.0/24或单IP），不要留空；
- 腾讯云轻量应用服务器：注意它没有“安全组”概念，用的是独立【防火墙】功能，在实例详情页【防火墙】标签下配置，新手常在此处找错页面。
面向高可用的进阶配置策略
单台服务器的安全组只是起点。高可用架构中，安全组要配合服务角色做分层管控：
- Web层服务器：开放80/443给公网，22仅限运维IP，禁止访问数据库端口（如3306）；
- 数据库服务器：禁止任何公网入站，只允许内网Web服务器IP段访问3306，且必须关闭root远程登录；
- 负载均衡器（如LVS/HAProxy）：开放80/443给公网，同时开放健康检查端口（如8080）给后端服务器IP段；
- 多安全组复用：一个安全组可绑定多台同角色实例（如所有API节点），避免逐台重复配置；修改规则后自动同步生效。
验证与排查关键动作
配置完成后不能只靠“能打开网页”来判断成功。真实可用需三步验证：
- 用telnet 公网IP 端口（如telnet 1.2.3.4 80）测试连通性，失败则说明安全组或本地防火墙拦截；
- 在服务器内部执行ss -tlnp | grep :端口号，确认服务确实在监听且未被本地iptables/ufw阻断；
- 从非白名单IP尝试访问受限端口（如22），应连接超时或拒绝，否则说明源地址设置失效。
