是什么
迁移时最容易出问题的不是数据，而是网络放通：把机房里积累多年的防火墙策略原样翻成云上的安全组与网络 ACL，既会把历史临时放行一起带上云，也会漏掉运维通道。正确做法是先按业务真实需求收敛，再把跨网段访问改成安全组引用，最后逐条从调用方实测连通性。
基本信息
| 映射对象 | 入方向与出方向的协议、端口、源与目标地址 |
|---|---|
| 收敛原则 | 只开放业务必需端口，用安全组引用代替大网段白名单 |
| 默认语义 | 安全组通常有状态、默认拒绝入方向；网络 ACL 多为无状态，两个方向都要写 |
| 验证方式 | 从每个调用方实测关键端口，而不是只看规则配好了 |
| 留档 | 策略清单与责任人对应，便于后续变更时判断能否删除 |
典型使用场景
- 迁移前盘点：把源端防火墙规则导出来，标注每条规则的业务用途与责任人
- 收敛临时放行：历史为排障开放的全端口规则，借迁移机会清理
- 跨网段访问改引用：把源地址段改写为源侧安全组，跟随实例变化自动生效
- 运维通道单独规划：堡垒机、监控采集、备份通道的端口要显式列出
- 迁移后回归验证：按清单逐条测试，记录每条规则的验证结果
连通性验证
连通性验证
nc -vz 10.60.1.10 3306 # 数据库端口
nc -vz 10.60.1.10 6379 # 缓存端口
nc -vz 10.60.1.20 8080 # 应用端口
telnet 10.60.1.30 22 # 运维通道
ss -lntp # 目标机上确认监听地址与端口是否一致
# 逐条对照策略清单执行，把结果与责任人一起留档映射对照
| 机房侧 | 云上对应 | 注意点 |
|---|---|---|
| 防火墙策略 | 安全组规则 | 有状态，回包自动放行，只写发起方向 |
| 交换机与路由器 ACL | 网络 ACL 或子网级 ACL | 无状态，入方向与出方向都要写规则 |
| 源地址白名单 | 源侧安全组引用 | 实例更换后自动跟随，避免 IP 变更导致失联 |
| 全端口放行规则 | 按端口逐个放开 | 收敛掉历史临时规则，减少暴露面 |
同一台实例最多能关联的规则条数、单条规则里的地址段数量都有配额，规则拆分过细会撞配额；合并同类项能同时解决可读性与配额两个问题。
迁移窗口内同时改网络与业务，出问题时无法判断是规则还是应用的问题；能拆开做的变更就拆开做，先通网络再切业务。