规则字段怎么理解
一条安全组规则由方向、协议、端口范围、授权对象、优先级构成。授权对象既可以是 CIDR 网段，也可以引用另一个安全组——在多层级架构里引用安全组比写死 IP 更好维护，因为应用层扩缩容时数据层规则不需要跟着改。优先级数值越小越先匹配。
基本信息
| 方向 | 入方向（inbound）管外部进来的流量，出方向（outbound）管本机发出的流量 |
|---|---|
| 协议类型 | TCP / UDP / ICMP / GRE / 全部 |
| 端口范围 | 22/22、80/80、3306/3306、8000/9000 区间写法 |
| 授权对象 | CIDR（如 10.10.0.0/16）或安全组 ID |
| 优先级 | 数值越小越先匹配，阿里云取值范围 1~100 |
| 生效方式 | 规则变更即时生效，存量连接一般不受影响 |
典型使用场景
- 公网 Web 层放行 80/443 给所有来源，其余端口一律不放行
- 数据层只放行应用层安全组访问数据库端口
- 跳板机安全组放行管理端口给运维网段，其他实例不放行管理端口
- 临时调试：精确放行某个来源 IP 到指定端口，结束后删除规则
- 放行 ICMP 便于基础连通性排查，注意 ICMP 需单独配置
三层架构的典型入方向规则
三层架构的典型入方向规则
优先级 100 允许 TCP 80,443 授权对象 0.0.0.0/0 # 公网 Web
优先级 90 允许 TCP 3306 授权对象 sg-app # 仅应用层访问数据库
优先级 80 允许 TCP 22 授权对象 10.10.200.0/24 # 仅跳板机可 SSH
未匹配任何规则的流量：丢弃（白名单模型）规则字段速查
| 字段 | 说明与示例 |
|---|---|
| 方向 | 入方向 / 出方向，回包由有状态机制处理 |
| 协议类型 | TCP / UDP / ICMP / GRE / 全部 |
| 端口范围 | 单端口 80/80；区间 8000/9000 |
| 授权对象 | CIDR 网段或另一个安全组 |
| 优先级 | 数值越小越先匹配 |
| 描述 | 建议写清用途与申请人，便于定期清理 |
用安全组引用代替写死 IP：应用层扩缩容或更换网段时，数据库侧规则不需要改动，规则数量也不会随实例数增长。
对 0.0.0.0/0 放行数据库端口或管理端口属于高风险配置，扫描器会在很短时间内发现并尝试利用，应尽快收窄到具体来源。