差异对比
| 维度 | 安全组 | 网络 ACL |
|---|---|---|
| 作用范围 | 实例 / 网卡 | 子网 / 交换机 |
| 状态 | 有状态（回包自动放行） | 无状态（双向都要配） |
| 规则形态 | 白名单放行规则 | 有序规则，含显式拒绝 |
| 默认策略 | 无规则即拒绝 | 未匹配即拒绝 |
| 典型用途 | 实例精细控制 | 子网级粗隔离 |
配套使用示意
配套使用示意
子网 sbn-db —— 网络 ACL：仅允许 10.10.0.0/16 访问 3306
└ 数据库实例 —— 安全组：仅允许 sg-app 访问 3306
两层同时合规，流量才真正通过排障顺序建议：先看 ACL 方向与序号，再看安全组规则。