安全组是什么
安全组是实例级的虚拟防火墙，控制云服务器的进出流量。三家都是白名单机制：没有显式放行的流量默认拒绝，规则命中即放行或拒绝。安全组绑定在实例的网卡上而不是子网或实例名称上，这一点决定了弹性网卡与多网卡场景的排查方式。
基本信息
| 作用对象 | 实例网卡（绑定弹性网卡时按网卡生效） |
|---|---|
| 工作方式 | 白名单，按规则方向与优先级匹配，默认拒绝 |
| 规则方向 | 入方向与出方向都要考虑，只放入方向常导致访问不通 |
| 规则引用 | 可将另一个安全组作为源或目的，便于按角色授权 |
| 容量上限 | 单个安全组与每张网卡的规则条数都有上限，超限时无法保存 |
对照表
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 名称 | 安全组 | 安全组 | 安全组 |
| 规则方向 | 入方向 / 出方向 | 入站 / 出站 | 入方向 / 出方向 |
| 允许与拒绝 | 支持 Allow / Deny | 支持 ALLOW / DROP | 支持允许 / 拒绝 |
| 引用方式 | 可引用安全组作为源 | 可引用安全组 | 可引用安全组 |
典型使用场景
- 最小化放行：只开放业务端口与运维网段，其余一律拒绝
- 按角色授权：Web 层安全组只放行负载均衡，应用层只放行 Web 层
- 限制运维入口：管理端口只对堡垒机或办公网段开放
- 临时放行排障：加一条临时规则并记录回收时间
- 多网卡实例分级：数据库走内网网卡，管理走另一张网卡
连通性排查思路
连通性排查思路
# 1 确认安全组绑在哪张网卡上（弹性网卡场景最容易搞错）
# 2 核对入方向是否有对应端口与来源网段
# 3 核对出方向是否被收紧，出方向全拒绝同样不通
# 4 检查同实例上多个安全组是并集生效，可能互相覆盖预期
# 5 再看子网侧的访问控制列表与实例内防火墙默认规则是拒绝：只放行常用端口却漏掉出方向，或规则未保存生效，表现都是「网络不通」，排查先看规则是否真的落地。
用 0.0.0.0/0 开放全部端口尤其是管理端口，等于把实例暴露在扫描与爆破面前，应改为按来源网段收窄。