Web 入方向规则怎么放行
对公网提供 Web 服务时，入方向只应放行必要的网页端口：标准网页服务放行八十与四百四十三，其余端口一律不放。管理端口与数据库端口要收窄到堡垒机或应用层，接入内容分发网络后，源站还可以只允许回源地址访问，防止绕过防护直连源站。
基本信息
| 最小放行集 | 网页服务端口对全网开放，同时按需放行 IPv6 来源 |
|---|---|
| 来源收窄 | 接入内容分发或防护后，可把来源收窄为回源地址段 |
| 管理端口 | 远程管理端口绝不对全网开放，改用堡垒机或办公网段来源 |
| 跳转关系 | 启用强制跳转后，网页端口仍要保留以完成跳转 |
| 巡检频率 | 每月审计一次公网开放端口清单，及时回收多余放行 |
| 与其他层配合 | 安全组之外还要核对主机内防火墙与监听地址 |
典型使用场景
- 新建 Web 站点：按最小集放行网页端口，其余端口保持关闭
- 接入内容分发：把源站来源收窄到回源地址，防止直接访问绕过防护
- 启用强制跳转：保留网页端口用于跳转，同时确保跳转规则正确
- 多站点共存：同一台机器承载多个站点时，仍只放行网页端口，按域名分流
- 上线前审计：核对安全组清单，确认没有历史遗留的临时放行
- 故障排查：确认放行规则与实际监听端口一致，避免规则与业务脱节
公网开放清单建议
| 端口 | 用途 | 来源建议 |
|---|---|---|
| 443 | 加密网页服务 | 对全网开放，或收窄为回源地址段 |
| 80 | 网页服务与跳转 | 对全网开放，或只用于跳转 |
| 22 或 3389 | 远程管理 | 仅堡垒机或办公网段 |
| 数据库端口 | 数据访问 | 仅应用层安全组 |
| 监控端口 | 指标采集 | 仅监控网段 |
放行网页端口
放行网页端口
aliyun ecs AuthorizeSecurityGroup --RegionId cn-hangzhou --SecurityGroupId sg-xxxx --IpProtocol tcp --PortRange 443/443 --SourceCidrIp 0.0.0.0/0
aliyun ecs AuthorizeSecurityGroup --SecurityGroupId sg-xxxx --IpProtocol tcp --PortRange 80/80 --SourceCidrIp 0.0.0.0/0
aliyun ecs DescribeSecurityGroupAttribute --SecurityGroupId sg-xxxx # 导出清单做审计
# 放行前先确认业务真的需要该端口，宁少不多接入内容分发或防护后，源站安全组仍对全网开放等于防护被绕过：把来源收窄到回源地址段，才能让流量必须经过防护层。
放行端口不等于服务可用：还要确认实例内应用确实监听了该端口、主机防火墙也放行了，三层都一致才通。
IPv6 来源需要单独放行：只放行 IPv4 来源时，通过 IPv6 访问的用户会直接连接失败，而排查方向常被带偏。
临时放行要有回收机制：排障用的端口让谁开、什么时候删要写清楚，否则半年后会变成不明来源的开放端口。
上线前后要做的事
- 上线前导出一份安全组规则，逐条确认每一项放行的必要性
- 确认网页端口对全网开放是有意为之，而不是照抄示例配置
- 确认管理端口来源已收窄到堡垒机或办公网段
- 接入加速服务后把源站来源收窄到回源地址段
- 确认 IPv6 来源是否放行，避免一部分用户访问失败
- 每月做一次公网开放端口审计，回收临时性的放行
- 记录每次放行的原因与到期时间，避免长期累积成隐患
安全组规则变更要有记录：改了哪一条、为什么改、由谁改，出现访问异常时能立刻回溯到最近一次改动。