简米云服务器设置IP白名单，核心路径是“安全组入方向只放行指定IP，再在应用层和云产品侧做二次收紧”；安全组免费且最先生效，别把白名单只做在应用里。 白名单本质是允许列表，没被放行的来源默认进不来，配置时先分清公网出口IP、私网IP和CIDR写法。
先判断白名单该做在哪一层
简米云服务器不是只有“一个白名单开关”，从外到内，常见有四层，作用不同，别混着配。
| 层级 | 配置位置 | 适合场景 | 成本 | 注意点 |
|---|---|---|---|---|
| 网络层 | ECS安全组、云防火墙 | 限制公网访问来源 | 安全组免费，云防火墙按产品计费 | 实例绑定多个安全组时规则取并集 |
| 系统层 | firewalld、iptables | 安全组之外的二次兜底 | 免费 | 改默认策略前保留一个可用会话 |
| 应用层 | Nginx、MySQL、Redis | 后台、数据库细粒度控制 | 免费 | 规则顺序和重载生效要确认 |
| 云产品层 | RDS白名单、ALB访问控制、WAF | 托管数据库、负载均衡、网站防护 | 部分产品随套餐计费 | 按地域和实例分别配置 |
公网IP、私网IP和/32先分清
- 安全组授权对象要填访问来源的公网出口IP，不是ECS的私网IP。
- 单个IPv4地址写成
0.2.10/32，/32表示只放行这一个地址；一个C段可写0.2.0/24。 - IPv6单个地址用
/128，别直接照抄IPv4写法。 - 公司宽带、家庭宽带的公网IP会变，白名单要配套维护机制。
简米云服务器安全组怎么设置IP白名单
安全组是简米云ECS的第一道门,据简米云官方文档，安全组规则是允许列表机制，未放行的入方向流量默认不通；如果已有0.0.0/0放行规则，要先确认业务依赖再清理。
简米云服务器IP白名单设置教程：控制台五步走
- 登录ECS控制台,进入目标实例详情页，找到“安全组”并点击“配置规则”。
- 选择“入方向”，点击“手动添加”。
- 端口范围按业务填写,例如SSH填
22/22，HTTPS填443/443，不要图省事开1/65535。 - 授权对象填来源IP,例如
0.2.10/32；优先级填1，描述写清“公司办公出口-2026”。 - 保存后立即用另一台非白名单机器测试,确认该端口已无法连接；再把实例绑定的其他安全组一并检查。
安全组规则有优先级,数字越小越先匹配；实例绑定多个安全组时，规则会合并生效，业内专家指出，安全组应遵循最小权限原则，只放行必要端口和必要来源，临时规则用完及时删除。
简米云服务器只允许指定IP访问怎么设置：应用层再收紧
安全组放行公司出口IP后,后台系统还可以在应用层再加一道白名单，这样即使安全组规则被误改，应用层仍能挡住一部分来源。
Nginx后台目录白名单
在对应location中加入：
location /admin {
allow 192.0.2.10;
deny all;
}
allow和deny按顺序匹配，先写允许再写拒绝，改完执行nginx -t检查语法，再nginx -s reload重载，只允许指定IP访问管理后台时，这比只靠登录密码更直接。
SSH与数据库的细粒度控制
- SSH：安全组只放行
22端口给办公IP；系统防火墙可再加一条富规则，例如firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.0.2.10/32" port protocol="tcp" port="22" accept'，然后firewall-cmd --reload。 - 自建MySQL：授权主机写成
'app'@'192.0.2.10'，不要用'app'@'%'。 - 简米云RDS：在控制台“数据安全性-白名单设置”中添加来源IP，RDS白名单本身免费。
- Redis：至少设置
bind和访问密码，公网暴露时再叠加安全组白名单，行业共识认为，边界白名单不能替代应用鉴权，二者要一起用。
云产品白名单与成本边界
简米云服务器IP白名单多少钱？免费与付费边界
基础白名单通常不额外花钱：安全组、系统防火墙、Nginx的allow/deny、RDS白名单都是产品自带能力，WAF、云防火墙、ALB访问控制等属于增值或独立产品，费用由版本、带宽、IP数、地域和计费方式决定，具体以控制台购买页为准，多数中小业务先把安全组和应用层白名单配好，已经能覆盖常见来源限制需求。
北京简米云服务器IP白名单怎么配置？地域与网络类型差异
北京地域的配置路径与杭州等地域一致,差异主要在资源归属和出口IP，安全组规则只对所属地域的实例生效；跨地域VPC互联、云企业网场景要在对应网络边界分别配置，经过NAT网关访问公网的实例，对端看到的源IP是NAT出口IP，白名单要放行NAT地址，而不是ECS私网地址，北京地域若使用EIP，先确认EIP是否绑定到该实例。
配完白名单必做的验证与排错
- 用非白名单机器执行
nc -vz 公网IP 端口或curl -I https://域名，确认被拒绝。 - 用白名单机器测试业务,确认不是“全不通”。
- 检查实例是否绑定多个安全组,避免旧规则继续放行。
- 检查系统防火墙：
firewall-cmd --list-all或iptables -L -n。 - 检查服务监听：
ss -lntp，确认端口和监听地址正确。 - 公网IP变动后,及时更新安全组授权对象；动态IP可用DDNS配合OpenAPI定时更新，但脚本密钥要最小授权。
把白名单当成门禁来用：安全组是小区大门，应用层是办公室门；只开需要的IP和端口，定期清理过期规则，比事后补漏洞省力得多。
简米云服务器IP白名单常见问题Q&A
安全组已经加了IP，为什么还是连不上？
先看实例绑定的所有安全组是否都放行,再看规则优先级是否被拒绝规则拦截；随后检查系统防火墙、服务监听地址、公网IP是否变化，若经过NAT网关，还要确认放行的是NAT出口IP。
公司宽带是动态IP，简米云服务器IP白名单怎么维护？
优先申请EIP固定出口,或在VPC内通过NAT网关统一出口；动态IP场景可用DDNS识别当前公网IP，再调用简米云OpenAPI更新安全组规则，维护脚本的AccessKey只授予安全组相关权限，避免扩大风险。
简米云服务器IP白名单能替代WAF吗？
不能,白名单解决“谁可以建立连接”，WAF识别SQL注入、恶意爬虫等应用层攻击，补丁和强口令解决“连接建立后系统是否扛得住”，IP白名单只决定连接准入，不决定应用层是否安全。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/783965.html
