- 确认方向：入方向管进入、出方向管发出，回包由状态机制处理
- 列全实例关联的安全组（可能不止一个）
- 检查优先级与授权对象是否覆盖实际来源
- 对端也有安全组时，核对对端出方向与本端入方向
- 用 VPC 流日志（action=REJECT）或 tcpdump 确认在哪一跳被丢
典型验证命令
典型验证命令
# 在目标机抓包，确认 SYN 是否到达
sudo tcpdump -ni any 'tcp port 3306' -c 20
# 也可在流日志中检索被拒绝的流量（SLS 查询片段）
# * | select srcaddr, dstport, action where action='REJECT' limit 20抓包见 SYN 无 SYN-ACK：查主机侧服务与系统防火墙；完全看不到 SYN：回到安全组与 ACL。