开放一个端口，意味着允许符合来源和协议条件的流量到达云资源。实用的云平台安全组入站规则配置原则，不是把常用端口一律放行，而是逐项确认访问对象、来源范围和业务用途。以下十条建议可用于新建规则，也适用于日常审查。
先明确开放对象和边界
- 先盘点实例和服务。记录规则关联的网卡或实例、服务名称、负责人及预期访问者。Web 服务、远程管理和数据库的暴露要求不同，避免把同一组宽泛规则套用到所有资源。
- 按最小权限开放来源。优先填写确有需要的固定公网地址或可信网段，而不是对所有来源开放。IPv4 的 0.0.0.0/0 与 IPv6 的 ::/0 都代表覆盖范围很广；公网服务确需面向任意访客时，也只开放必要端口。
- 控制协议和端口范围。能指定单个 TCP 或 UDP 端口，就不要填写大段端口区间。HTTPS 通常使用 TCP 443；SSH 常见为 TCP 22，远程桌面常见为 TCP 3389。具体端口以服务实际监听配置为准。
- 管理入口限制来源。SSH、远程桌面等管理端口不宜对整个互联网开放。优先通过企业 VPN、堡垒机或固定出口地址访问；若使用临时地址，先核实当前出口网段，再添加范围尽可能小的规则。
- 区分公网服务与内部服务。面向访客的 Web 入口和仅供应用连接的数据库，不应使用相同来源策略。PostgreSQL 常见端口为 TCP 5432，Redis 常见端口为 TCP 6379；这类服务通常只应允许确有依赖的应用网段访问，不应因测试方便而直接公开。
- 优先使用安全组或网段引用。若云平台支持以另一个安全组作为来源，可用它表达“仅允许某类应用访问”，减少实例地址变化后逐条改规则的工作。若不支持，则使用经过确认的内网 CIDR，并定期复核范围。
- 注意 IPv4 与 IPv6 覆盖。只检查 IPv4 规则，可能遗漏单独配置的 IPv6 入站权限。确认资源是否启用 IPv6，并分别核对两类地址的允许范围；不提供 IPv6 服务时，不要无意中开放对应入站流量。
- 检查规则是否重复或冲突。逐条确认协议、端口、来源和备注。不同云平台对规则优先级、合并方式及安全组关联行为的处理可能不同，不要假设规则顺序完全一致，应以平台说明和实际配置界面为准。
- 把临时放行设为有期限。排障、迁移或上线验证需要临时访问时，记录申请人、用途和截止时间。操作步骤可按“确认来源与端口—新增并备注—验证连通性—到期删除”执行；若平台支持规则到期功能，可设置自动回收。
- 变更后验证并留痕。先检查云安全组，再核对实例操作系统防火墙、服务监听地址和路由等环节。记录变更前后内容与验证结果；出现异常时，优先回退最近一次相关改动，而不是继续扩大开放范围。
上线前的快速检查
将云平台安全组入站规则配置原则落实到流程中，可以按以下顺序操作：
- 确认目标实例、网卡和对外服务。
- 列出所需协议、端口及可信来源网段。
- 删除无用途、重复或过宽的旧规则。
- 添加带有用途和负责人信息的新规则。
- 从预期来源验证访问，并安排复查或到期回收。
若访问失败，不要先把来源改成所有地址。应逐项核对安全组关联、端口、来源地址、路由、主机防火墙和服务状态。规则是否生效以及是否有优先级限制，需结合所用云平台的具体实现确认。
常见问题
安全组入站规则可以只开放一个 IP 吗？
可以。若访问方使用固定公网地址，可将来源限制为该地址对应的最小网段；若出口地址会变化，应先考虑稳定出口、VPN 或其他受控接入方式。
入站端口开放后，服务就一定能访问吗？
不一定。还需确认服务正在监听对应端口，实例防火墙允许连接，且路由和公网地址配置符合访问路径要求。
云平台安全组入站规则配置原则是否适用于 IPv6？
适用，但 IPv6 地址范围需单独核对。不要把 IPv4 规则视为自动覆盖 IPv6，也不要在不需要时开放 ::/0。
多久复查一次规则？
可在每次网络变更、服务下线或人员权限调整时复查，并按组织的运维周期定期盘点。临时规则应按约定期限及时删除。