| 最小集 | TCP 80、443 来源 0.0.0.0/0（IPv6 另配 ::/0） |
|---|---|
| 可选 | 若走 CDN/WAF，来源可收窄为回源地址段 |
| 管理口 | 22/3389 绝不放 0.0.0.0/0，改用堡垒机来源 |
| 审核 | 每月审计一次公网开放端口清单 |
放行 HTTPS 规则（阿里云 CLI）
放行 HTTPS 规则（阿里云 CLI）
aliyun ecs AuthorizeSecurityGroup --RegionId cn-hangzhou --SecurityGroupId sg-xxxx --IpProtocol tcp --PortRange 443/443 --SourceCidrIp 0.0.0.0/0走 CDN/WAF 时把源站安全组收窄到回源地址段，可防绕过防护直连源站。