ICP备案

云服务器安全组怎么配置？端口放行、最小化开放与常见误区全解析

Q: 网站打不开，怎么判断是不是安全组问题？

从外部 telnet 域名 443 或 curl -v：连不上多为安全组/防火墙未放行；能连上但页面异常则是服务器或程序问题。

作者：备案源头内容团队内容审核：备案源头内容团队更新于 2026年7月25日

新买的云服务器网站打不开，十有八九不是程序问题，而是安全组没放行端口。安全组是云平台给每台服务器加的第一道网络防火墙，配错了要么网站访问不了，要么把不该开的端口暴露给全网。本文系统讲清安全组怎么配才既通又安全。

安全组是什么，和系统防火墙的区别

安全组是云平台在网络层给实例配置的虚拟防火墙，控制哪些 IP、哪些端口能进出你的服务器。它和服务器系统内的防火墙（Linux 的 iptables/firewalld、ufw）是两层独立的关卡：

层	位置	典型
安全组	云平台网络层（在实例之外）	阿里云安全组、腾讯云安全组、AWS Security Group
系统防火墙	服务器操作系统内	iptables / firewalld / ufw

两层都要放行，请求才通。 很多"端口明明开了还是连不上"的问题，就是只开了其中一层。排查网站打不开时，安全组是继解析之后要查的第一站，参考网站打不开怎么排查。

入方向与出方向

入方向（Inbound）：控制外部访问服务器的流量。网站要放行 80（HTTP）、443（HTTPS）；管理需要放行 SSH（Linux 22）或 RDP（Windows 3389），但强烈建议限制来源 IP。
出方向（Outbound）：控制服务器主动访问外部的流量。默认通常全放行（服务器要能拉取更新、调用外部 API）；有严格合规要求时才收紧。

最小化开放原则：只开该开的

安全组配置的核心原则是最小权限——只开业务必需的端口，来源尽量收窄：

端口	用途	放行建议
80 / 443	网站 HTTP/HTTPS	对全网放行（0.0.0.0/0）
22 (SSH)	Linux 远程管理	仅放行你的固定 IP，别对全网开
3389 (RDP)	Windows 远程桌面	仅放行你的 IP
3306 / 5432 / 6379	MySQL/PostgreSQL/Redis	不要对公网开放，只在内网/本机访问

数据库、Redis 等后端端口对公网开放是重大安全隐患——会被自动化扫描爆破。它们应只监听内网或本机，由应用在内部访问，详见网站服务器安全加固。

配置步骤

登录云控制台，进入实例的安全组设置；
加入方向规则：放行 80、443（来源 0.0.0.0/0）；
收紧管理端口：SSH/RDP 只放行你的公网 IP（IP 变动频繁可用堡垒机或临时开放）；
确认后端端口未对外：数据库/缓存端口不加公网放行规则；
系统防火墙同步：确认服务器内 firewalld/ufw 也放行了 80/443；
验证：从外部 telnet 域名 443 或用网站检测确认端口可达。

# 服务器内防火墙同步放行（firewalld 示例）
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --reload
# ufw 示例
ufw allow 80,443/tcp && ufw reload

常见误配与排查

只开了安全组、没开系统防火墙（或反之）：两层都要放行；
SSH 对全网开放 + 弱口令：极易被爆破，务必限来源 IP + 密钥登录；
数据库端口对公网开放：高危，收回并改内网访问；
改了安全组不生效：多数即时生效，若不行检查是否选对了实例绑定的安全组、系统防火墙是否拦截；
多台服务器/负载均衡：后端只放行来自负载均衡的内网访问，见网站高可用架构。

和备案上线的关系

安全组是网络访问控制，和备案是两回事：备案管的是域名与主体的合规资质，安全组管的是端口能不能连。境内服务器即使安全组全放行，域名没备案照样无法正常对外服务；反之备案通过了但安全组没放行 80/443，网站也打不开。换服务器/IP 时，安全组要重配、备案接入也要同步核对，见更换服务器或 IP 要不要重新备案。

常见问题

Q：网站打不开，怎么判断是不是安全组问题？
从外部 telnet 域名 443 或 curl -v：连不上多为安全组/防火墙未放行；能连上但页面异常则是服务器或程序问题。

Q：SSH 端口要不要改成非 22？
改端口能减少自动化扫描噪音，但不是安全的根本。更关键的是限制来源 IP、禁用密码登录改用密钥。

Q：数据库端口怎么让应用访问又不暴露公网？
让数据库只监听 127.0.0.1 或内网地址，应用在同机/内网连接；安全组不为其加公网放行规则。

资料来源

各云服务商安全组配置官方文档（阿里云/腾讯云/AWS 等）
firewalld / ufw / iptables 官方文档

以上为通用配置思路，具体规则与操作以你使用的云平台与系统文档为准。

联系客服