| 绑定对象 | ECS 实例 / 弹性网卡（实例级粒度） |
|---|---|
| 模型 | 白名单：未匹配放行规则即拒绝 |
| 状态 | 有状态：放行方向的返回流量自动放行 |
| 规则要素 | 方向、协议、端口范围、授权对象（CIDR 或安全组） |
从实例侧判断是拦截还是服务问题
从实例侧判断是拦截还是服务问题
nc -zv -w 3 10.10.3.20 3306 # 端口连通性
curl -s --connect-timeout 3 http://10.10.3.20:8080/health
# 表现为超时（而非拒绝）时，多半是被安全组/ACL 丢包安全组粒度细、作用在实例上；网络 ACL 是子网级粗粒度控制，两者配合使用。