【帮助中心】云服务器安全组配置教程，放行端口、限制 IP 访问

安全组是云服务器的外网防火墙，位于实例外层，控制进出云服务器的网络访问。很多客户部署网站后外网打不开，大多是安全组没有放行对应端口。安全组可以放行网站端口、限制指定 IP 访问服务器，是云服务器基础安全防护手段。

一、安全组基础概念

1. 安全组是一组网络访问规则，作用在云服务器实例上。
2. 默认策略：一般默认拒绝外部主动访问服务器，需要手动添加放行规则。
3. 安全组独立于服务器内部防火墙 firewalld，两层都要配置，业务端口才能正常访问。

二、常用端口参考

• 80 端口：HTTP 网站访问
• 443 端口：HTTPS 加密网站访问
• 22 端口：Linux SSH 远程登录
• 3389 端口：Windows 远程桌面
• 3306 端口：MySQL 数据库（不建议直接对公网放行）

三、安全组添加放行规则

1. 登录云天域控制台，进入【云服务器】-【安全组】页面。
2. 选择实例绑定的安全组，点击【配置规则】。
3. 添加入方向规则：
   
4. 保存规则，规则即时生效。

提示：数据库 3306 端口，建议授权对象填写固定办公公网 IP，不要填 0.0.0.0/0，防止数据库被扫描爆破。

四、限制指定 IP 访问（白名单）

如果只允许自己的公网 IP 远程登录服务器：

• 端口填写 22，授权策略允许，授权对象填写你的公网IP/32。
• 不在白名单内的 IP，无法 SSH 连接服务器。

五、安全组最佳实践

1. 最小开放原则：只开放业务必须端口，其余端口全部禁止。
2. 数据库、Redis 等内网服务，禁止直接对公网开放。
3. 定期清理无用安全组规则，删除长期不用的端口放行策略。
4. 区分入方向、出方向：入方向控制外网访问服务器；出方向控制服务器对外访问。

六、常见问题

1. 安全组放行端口，网站还是打不开：检查服务器内部防火墙 firewalld/iptables 是否放行端口。
2. 规则添加不生效：确认实例绑定的是当前编辑的安全组。
3. 配置错误导致远程连不上：可以在控制台临时添加自己 IP 放行 22/3389 端口。