两层限制都要放通
负载均衡与安全组的关系分两侧：入口侧，部分产品的负载均衡实例可以关联安全组来限制来源地址；后端侧，实例的安全组需要放通负载均衡的转发与健康检查来源。更常见的坑是云安全组与主机防火墙是两层独立限制，只放通一层，流量依然进不来。
基本信息
| 入口侧 | 负载均衡可关联安全组限制来源，按产品支持情况 |
|---|---|
| 后端侧 | 实例安全组要放通健康检查与转发的来源网段 |
| 两层限制 | 云安全组与主机防火墙（firewalld / iptables）需分别核对 |
| 排查顺序 | 先确认真实生效的规则集合，再逐条比对流量命中 |
| 验证方式 | 用真实连接验证，而不是只看控制台显示 |
典型使用场景
- 后端成员全部显示异常，检查是健康检查流量被安全组拦截
- 限制入口只允许特定网段访问，用负载均衡安全组收敛来源
- 迁移后忘删旧的放通规则，做一次规则收敛清理
- 排查「安全组已放通仍不通」，确认主机防火墙是否在拦
- 规范新增实例：默认放通负载均衡网段，避免逐个补规则
核对主机侧防火墙
核对主机侧防火墙
firewall-cmd --list-all 2>/dev/null || iptables -L -n | head -20
# 从负载均衡侧无法直接登录后端时，先在后端抓包确认请求是否到达
tcpdump -i eth0 -nn port 8080 -c 10拦截层级与现象
| 层级 | 漏放通的后果 | 验证方式 |
|---|---|---|
| 入口安全组 | 外部访问被拒 | 从外部发起连接测试 |
| 后端安全组 | 健康检查异常、后端摘除 | 查看后端成员健康状态 |
| 主机防火墙 | 云侧显示正常但业务不通 | 实例内查看防火墙规则 |
| 应用监听 | 端口未监听导致拒绝 | 实例内确认监听地址与端口 |
安全组规则变更后用一次真实连接验证，不要仅凭控制台显示判断已生效；控制台显示的是配置，不一定是当前实际生效的规则集合。
为了快速放通而添加 0.0.0.0/0 全端口规则，会把入口直接暴露在公网扫描之下，排障结束后必须回收。