安全组与网络 ACL 对比
| 维度 | 安全组 | 网络 ACL |
|---|---|---|
| 作用对象 | 实例/网卡 | 子网 |
| 状态 | 有状态 | 无状态（返回流量要显式放行） |
| 规则 | 允许+拒绝，带优先级 | 按编号顺序，支持拒绝 |
| 典型用途 | 精细化实例访问控制 | 子网级粗粒度隔离 |
网络 ACL 规则示例（文本）
网络 ACL 规则示例（文本）
入：100 允许 TCP 10.10.0.0/16 → 子网
入：200 允许 TCP 3306 来自 sg 或特定段
入：* 拒绝 0.0.0.0/0（默认兜底）
出：对称放行返回流量（无状态，必须写）大多数团队用安全组足够；多租户或强合规环境再加网络 ACL 做子网级兜底。