变更后会发生什么
安全组规则修改后立即生效，并且会作用于已经建立的连接：新规则若拒绝某个方向，该连接的后续报文直接被丢弃，表现就是连接中断——不是等到下一次建连才受影响。所以调整安全组既要在变更窗口进行，也要提前把原规则导出留档，并为管理端口预留一条不依赖该规则的救援通道。
变更前留档、变更后验证
变更前留档、变更后验证
# 导出当前规则（阿里云 CLI 示例）
aliyun ecs DescribeSecurityGroupAttribute \
--RegionId cn-hangzhou --SecurityGroupId sg-bp1xxxxxxxx > sg-backup.json
# 变更后立即验证关键端口
nc -zv -w 3 10.10.1.20 443 && echo PORT_OK
# 长连接业务还要看在线连接数是否掉底
ss -s | head -n 3基本信息
| 生效时机 | 规则保存后立即生效 |
|---|---|
| 对既有连接 | 被新规则拒绝方向的连接会中断 |
| 高风险操作 | 收紧 22、3389 等管理端口可能直接失去登录通道 |
| 回滚准备 | 变更前导出规则文件，异常时按原文件恢复 |
| 救援通道 | 控制台远程连接、云助手或不经过该安全组的内部跳板 |
典型使用场景
- 按等保要求收敛公网暴露面，批量下线不再使用的端口放行
- 应急封禁：发现异常来源后用拒绝规则即时切断访问
- 新增业务端口：与研发确认来源网段后放行并记录变更单
- 故障复现：临时放开某来源验证是否被安全组拦截，之后立即回收
改管理端口规则前先确认还有可用通道：控制台远程连接、云助手或另一条放行来源。
回滚靠留档不靠记忆
回滚能力来自变更前的准备，而不是出事后的临场反应。变更前导出规则文件并记下变更单号，写清「改了什么、为什么改、怎么改回去」；变更后按预案逐项验证，发现异常立即按原文件恢复。涉及管理端口时，先在非关键的同类实例上验证新规则可达，再批量应用到生产，能把影响面从整个可用区收敛到一台机器；如果确实被封，控制台远程连接与云助手是最后的救援通道，事前确认它们可用。