【分享】服务器安全组配置详解

傲来云

很多站长或者新手朋友买了云服务器之后，只顾着装环境、搭网站，却忽略了一个特别关键的点 —— 安全组。
其实它就是云服务器的“防火墙”，配置得好，服务器稳如老狗；配不好，被扫端口、被爆破分分钟的事。
今天就带大家详细聊聊安全组是什么、怎么配、常见坑在哪。

一、安全组是什么？
简单说，安全组就是云服务器的流量守门员。
它负责决定哪些 IP 能访问你的服务器、能访问哪些端口。

举个例子：
你开放 80/443 端口，别人才能访问你的网站。
你开放 22 端口，才能用 SSH 登录。
其他没开放的端口？对外一律封死。
你可以在云控制台里设置规则，不需要去服务器里面折腾复杂的防火墙命令。

二、安全组的两种规则
安全组分两种方向的规则：
入站规则（Inbound）：控制“外部访问服务器”的流量。
比如网站访问、SSH 登录等。
出站规则（Outbound）：控制“服务器访问外部”的流量。
比如服务器访问外网下载更新。
一般我们重点关注入站规则，出站默认放行即可。

三、常见端口配置建议

端口	协议	来源 IP	用途	建议
22	TCP	仅自己 IP	SSH 登录	强烈建议限制 IP
80 / 443	TCP	0.0.0.0/0	网站访问	必须对外开放
3306	TCP	内网或指定服务器	MySQL 数据库	禁止公网开放
8888	TCP	指定 IP	宝塔面板	不建议对外开放
21 / 20	TCP	指定 IP	FTP 服务	仅按需开放

注意：不要偷懒直接全端口开放，这就相当于把家门敞开让人随便进。

四、常见安全问题
1. 全端口放行
一旦你设置 “0.0.0.0/0 → 所有端口开放”，等于是告诉全世界都能连你的服务器。
结果？SSH 爆破、网站扫漏洞、数据库被扫一遍。

正确做法：
只开放需要的端口。
SSH、宝塔等管理端口只允许固定 IP 访问。

2. 忘记关闭测试端口
开发时开过一些临时端口（比如 8080、3306），项目上线后忘记关。
黑客扫描工具能轻松找到并利用。

解决方法：
定期查看端口情况：

1. netstat -tuln | grep LISTEN

复制代码

删除不再使用的安全组规则。

3. 宝塔面板暴露公网
宝塔很方便，但如果对外开放 8888 端口，基本天天会被爆破。

建议：
修改默认端口号。
只允许自己的 IP 访问。
启用防爆破插件或用 Cloudflare Tunnel 内网访问。

五、安全组 vs 系统防火墙

项目	安全组	系统防火墙（iptables/firewalld）
管理层级	云端（控制台）	系统内部
操作难度	简单（图形化）	较复杂（命令行）
生效范围	整台云主机	操作系统层
推荐用法	云上防护	细粒度控制

两者可以叠加使用。
比如：
安全组负责“外部流量是否能进来”；
防火墙负责“进来之后能干什么”。

六、安全组配置实战建议
1. 默认拒绝所有入站，按需放行端口。
2. 只开放 HTTP(80)、HTTPS(443) 等业务端口。
3. SSH、宝塔、数据库等管理端口要限制访问 IP。
4. 不同业务用不同安全组，比如：Web、数据库、测试分开。
5. 定期检查规则，删除不用的端口。
6. 结合系统防火墙、Fail2ban、WAF 一起用，效果更佳。

七、多层安全防护方案
安全组：云层控制入口流量。
firewalld/iptables：系统层细分规则。
Fail2ban：防爆破登录。
WAF：防止SQL注入、XSS、CC攻击。
这样三层组合起来，防护效果杠杠的。

八、总结
安全组虽然只是几条规则的配置，但却是云服务器安全的第一道防线。
一句话概括：
“安全组管大门，防火墙守客厅，Fail2ban看守卧室。”
别嫌麻烦，合理的安全组配置能省下很多修复被攻击的痛苦。
如果你刚买云服务器或者最近在优化安全策略，建议先检查一下安全组设置，
看看是不是还有哪些端口是“敞开”的。

最后
很多人以为服务器安全主要靠防火墙，其实安全组才是最容易被忽略的关键。
希望这篇能帮你少走弯路，让你的云服务器更稳、更安全！