优先级怎么起作用
安全组规则按优先级顺序匹配、命中即停：阿里云的优先级取 1~100，数值越小越先匹配；如果没有任何规则命中，默认拒绝。这意味着规则的「位置」和内容同样重要——一条拒绝规则只要排在放行规则之前，就会把原本要放行的来源一起拦住，这是排查端口不通时最容易被忽略的原因之一。
优先级排布示例
优先级排布示例
优先级 90 允许 TCP 3306 授权对象 10.10.0.0/16 # 内网放行
优先级 1 拒绝 TCP 3306 授权对象 0.0.0.0/0 # 明确阻断公网来源
说明：公网来源先命中拒绝；内网来源先命中 90，正常放行
反例：把拒绝规则的优先级改到 90 之前，内网访问会一起被拦基本信息
| 匹配方式 | 按优先级从小到大，命中即停止 |
|---|---|
| 取值范围 | 阿里云 1~100（数字越小优先级越高） |
| 默认行为 | 无规则命中时拒绝 |
| 常见误区 | 拒绝规则置于放行之前，会让放行规则失效 |
| 排布建议 | 放行规则往前放，拒绝规则留在后面兜底 |
典型使用场景
- 只放行内网网段、拒绝公网来源访问数据库端口
- 临时封禁某个异常源 IP：用高优先级拒绝规则快速生效
- 按来源分层控制：办公网、内网、公网分别用不同优先级的规则处理
- 变更前复核：新增规则后按优先级排序检查是否挡住既有放行
常见排布错误
| 排布 | 结果 |
|---|---|
| 拒绝规则优先级低于放行规则 | 放行优先命中，拒绝不生效 |
| 拒绝规则优先级高于放行规则 | 放行被绕过，业务不通 |
| 同一端口多条放行规则 | 以最先命中的那条为准 |
优先级调整先在测试环境验证；生产变更前把原规则导出留档。
排布原则与复核
把安全组当成一份有序清单来维护：放行规则集中在前，拒绝规则留作兜底，序号之间留出间隔便于后续插入。变更后不要只看「规则加上了」，而要按优先级从头扫一遍，确认新规则没有挡住更靠前的放行，也没有被更靠前的拒绝拦住。排查不通时同样先按优先级排序，把命中点找出来再讨论规则内容对错。