默认到底是什么状态
新建安全组通常不包含任何入方向放行规则，白名单模型下这等于拒绝全部入站；出方向一般默认放行，方便实例主动访问外部服务。需要注意的是各厂商控制台、不同购买入口预置的内容有差异，创建实例后应以实例实际关联的规则集为准，而不是凭印象判断。
基本信息
| 入方向 | 默认无规则即拒绝所有入站（白名单模型） |
|---|---|
| 出方向 | 多数平台默认放行全部出站流量 |
| 预置差异 | 不同厂商、不同购买入口预置规则不同，以实例实际规则为准 |
| 核对入口 | 实例详情 → 安全组 → 入方向规则 |
| 常见预置 | 部分购买入口会自动生成放行 22、3389 或 ICMP 的规则 |
| 清理建议 | 上线后按业务需要收窄，删除未使用的放行规则 |
典型使用场景
- 新购实例无法登录时，先核对入方向是否放行管理端口
- 上线前把默认放行的管理端口替换为跳板机网段
- 给数据库实例创建独立安全组，入方向只放行应用层
- 临时排查需要 ICMP 时单独放行，排查完成后删除
- 审计时逐一核对实例绑定的安全组是否存在全放行规则
从另一台实例验证入方向
从另一台实例验证入方向
nc -zv -w 3 <目标IP> 22 # 管理端口是否可达
ping -c 2 <目标IP> # ICMP 通常需单独放行
ss -lntp | grep -E ':22|:80' # 本机侧确认服务在监听
# 三种结果组合对照：端口不通 + 本机在监听 = 大概率是入方向未放行现象与判断
| 现象 | 优先检查 |
|---|---|
| 新实例无法 SSH 登录 | 入方向是否放行 22，来源是否包含当前网络 |
| ping 不通但端口能连 | ICMP 未单独放行属于正常配置 |
| 外网访问无响应、内网正常 | 是否绑定公网地址，公网入方向是否放行 |
| 同安全组实例互通、跨组不通 | 按安全组引用的授权规则未覆盖该来源 |
出方向默认放行方便了部署，但也意味着实例可以主动访问任意外部地址；对数据敏感的环境应把出方向也收窄为业务必需的目标。
对 0.0.0.0/0 放行 22 或 3389 会直接暴露管理端口，公网上针对这些端口的扫描与爆破是持续性的，应尽快限制到跳板机网段。