在控制台定位实例，进入安全组管理页，通过添加规则放行特定端口，建议优先使用自定义策略而非默认开放所有流量，以平衡业务连通性与网络安全。
安全组相当于云服务器的虚拟防火墙,它控制着进出云资源的网络流量，很多新手在搭建网站或部署应用时，往往因为端口未放行导致无法访问，或者因为配置过于宽松而面临被攻击的风险，理解并正确配置安全组，是保障云上业务稳定运行的第一道防线。
腾讯云服务器安全组创建与配置全流程
配置安全组并非一步到位的操作,而是需要结合业务需求进行精细化设置，以下是基于腾讯云控制台的标准化操作路径，适用于绝大多数Linux和Windows实例。
第一步：定位实例并进入安全组管理
登录腾讯云控制台后,导航至“云服务器”页面，在实例列表中，找到你需要配置的目标实例，注意，安全组是绑定在实例或子网级别的，因此操作入口通常位于实例的详情页或列表的操作栏中。
点击实例名称进入详情页,在左侧导航栏中找到“安全组”选项，如果该实例尚未绑定任何安全组，系统会提示你创建一个新的安全组或选择一个现有的，对于新建实例，建议直接创建一个新的安全组，以便后续管理更加清晰。
第二步：添加入站规则以放行业务端口
入站规则决定了哪些外部流量可以进入你的服务器,这是最容易被忽视也最容易出错的环节。
Web服务场景配置
如果你正在搭建网站,通常需要放行HTTP（80端口）和HTTPS（443端口），在安全组规则页面，点击“添加规则”。
- 方向：选择“入方向”。
- 策略：选择“允许”。
-
协议端口：选择“TCP”，端口范围填写“80,443”。
- 授权对象：为了安全起见，建议填写“0.0.0.0/0”以允许所有IP访问，或者指定特定的IP段。
- 描述：备注“Web服务端口”，便于后续维护。
远程连接场景配置
对于Linux服务器,你需要放行SSH端口（默认22）；对于Windows服务器，需要放行RDP端口（默认3389）。
- 高危提示：切勿将SSH或RDP端口对“0.0.0.0/0”完全开放，除非你设置了极其复杂的密码或密钥认证，业内专家指出，暴力破解是云主机最常见的攻击方式之一，限制来源IP能大幅降低风险。
- 操作建议：在“授权对象”中，填入你当前办公电脑的公网IP地址，123.123.123.123/32”，这样，只有你的电脑才能远程连接服务器。
第三步：配置出站规则确保数据正常发出
默认情况下,腾讯云安全组的出站规则通常是“允许所有”，这意味着服务器可以访问互联网，但在某些高安全场景下，你可能需要限制服务器只能访问特定的域名或IP。
- 常规操作：保持默认“允许所有”即可，这能满足绝大多数应用需求，如下载软件包、调用API等。
- 高级限制：若需限制，可添加“拒绝”规则，优先级设为最高，禁止服务器访问某些恶意IP段。
安全组规则优先级与冲突处理机制
很多用户在使用腾讯云安全组时,会遇到“规则明明加了，为什么还是不通”的问题，这通常是因为规则优先级或冲突处理机制导致的。
规则优先级判定逻辑
腾讯云安全组遵循“拒绝优先”和“精确匹配优先”的原则，当多条规则同时存在时，系统会按照以下逻辑进行判断：
- 策略优先级：默认情况下，“允许”和“拒绝”规则的优先级取决于具体的配置，但在腾讯云的安全组中，拒绝”规则的优先级高于“允许”规则，除非你明确调整了优先级。
- 授权对象精确度：对于相同的协议和端口，授权对象越具体，优先级越高。“192.168.1.1/32”的优先级高于“0.0.0.0/0”。
常见冲突场景与解决方案
端口通但服务不可用
这种情况通常不是安全组的问题,而是服务器内部防火墙（如iptables、firewalld或Windows防火墙）拦截了流量。
- 排查步骤：
- 确认安全组规则已正确添加并生效。
- 登录服务器,检查内部防火墙状态。
- 对于Linux,执行
systemctl status firewalld查看状态，或使用iptables -L -n查看规则。 - 对于Windows,检查“Windows Defender 防火墙”设置。
多实例共用安全组导致权限混乱
当多个业务实例绑定同一个安全组时,修改规则会影响所有实例。
- 最佳实践：采用“按业务类型”划分安全组，创建一个“Web前端安全组”，一个“数据库安全组”，一个“管理运维安全组”。
- 数据库隔离：数据库实例（如MySQL、Redis）的安全组应仅允许Web前端安全组的IP段访问，严禁对“0.0.0.0/0”开放，行业共识认为，数据库直接暴露在公网是严重的安全隐患。
腾讯云安全组与其他云服务的联动配置
安全组并非孤立存在,它需要与负载均衡、数据库等云服务协同工作，才能构建完整的架构。
负载均衡（CLB）与安全组
在使用腾讯云负载均衡时,后端服务器的安全组配置至关重要。
- 监听器端口：CLB监听器配置的端口（如80）必须与后端服务器的安全组入站规则端口一致。
- 源IP来源：CLB转发流量时，源IP是CLB的内网IP，后端服务器安全组的授权对象应填写CLB所在子网的网段，或者CLB实例绑定的安全组ID（如果支持）。
云数据库（CDB）的安全隔离
云数据库通常不直接绑定安全组,而是通过“白名单”机制控制访问。
- 白名单设置：在数据库控制台添加Web服务器的CVM内网IP到白名单。
- 安全组配合：虽然数据库有白名单，但建议Web服务器的安全组也限制仅能访问数据库的特定端口，形成双重防护。
常见疑问解答
腾讯云服务器安全组规则添加后多久生效？
安全组规则的修改是实时生效的,无需重启服务器或重新绑定实例，当你点击“保存”后，新的规则立即应用到绑定的实例上，如果修改后仍无法访问，请检查服务器内部防火墙或业务服务是否正常运行。
腾讯云服务器安全组可以绑定多个吗？
一个实例在同一时间只能绑定一个安全组,如果需要应用多套规则，建议创建一个包含所有必要规则的安全组，或者使用VPC网络ACL进行更细粒度的子网级流量控制。
如何查看当前安全组的详细规则列表？
在腾讯云控制台的“安全组”页面，点击具体的安全组名称，即可进入规则详情页，页面会清晰列出所有入方向和出方向的规则，包括协议、端口、授权对象和策略，你可以在此页面进行编辑、删除或调整优先级操作。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/406067.html
