安全组是云服务器的第一道门：配错了，要么玩家连不上、要么全网都能扫到你。这篇把安全组的原理、配法、排查讲透——从默认规则到最小化实践，从游戏服到网站，全部有现成规则表。

需要现成的游戏云服务器，可以看看财富云计算：一键开服面板，NAT 型无独立公网 IP，价格比独立 IP 机型省一半以上，主流游戏都能快速部署，安全组模板已内置。

一、安全组是什么

安全组是云平台提供的虚拟防火墙，在流量到达你的服务器之前就拦截。和系统内防火墙（ufw/iptables）是两层：

两者是「与」的关系：流量必须同时通过两层才能进门。常见悲剧是安全组放了、ufw 没放，或者反过来——排查连不上时两层都要看。

安全组三个核心要素：方向（入/出）、协议端口、来源 IP。

二、默认规则怎么调

新机器默认一般是「放通 ICMP、开放 22 端口给所有人」之类。第一件事：

1. 22 端口来源改窄：默认对 0.0.0.0/0 开放，等于全网都能试你的 SSH 密码。改成你的固定 IP/32，或至少配合密钥登录+fail2ban
2. 出方向：保持全放通（服务器要主动访问外网更新、拉镜像），一般不用动
3. 用「允许」不用「拒绝」思维：安全组是白名单，只列该开的，其余默认不通

三、游戏服规则模板

幻兽帕鲁为例：

原则：

• 游戏端口必须对全网开（玩家来自各地），但只开 UDP 需要的那些，别顺手开一堆
• 管理端口（SSH/RCON/数据库）只对自己的 IP 开——家里宽带是动态 IP 的，用 DDNS 或定期更新规则
• NAT 型机器：安全组放行 + 控制台端口映射，两层配对，缺一不可，见NAT 端口映射完全指南

常用游戏端口速查见端口速查表。

四、网站服务器规则模板

数据库和缓存端口暴露公网是入侵第一大入口。自建库只监听 127.0.0.1，配合安全组双保险，加固方案见数据库安全加固和Redis 未授权访问防护。

域名解析阶段如果用了 CDN，源站 IP 只对 CDN 回源 IP 段开放更安全，进阶玩法见WAF 规则实战。

五、安全组规则管理规范

1. 一条规则一个用途：注释写清楚（「帕鲁游戏端口 1015」），三个月后你还记得
2. 来源尽量精确：203.0.113.0/24 优于 0.0.0.0/0；单人用 /32
3. 临时规则定时清理：给朋友临时开端口，用完就删。建议每月翻一次规则列表
4. 规则数量别爆炸：平台一般上限 100 条/组，用 IP 段合并，别一条一个 IP
5. 改规则前想三秒：正在生产的关键端口，改错就是全站中断

动态 IP 用户（家用宽带）的管理办法：

# 本地跑个脚本,IP 变了自动调安全组(用云厂商 CLI)
# 以阿里云 CLI 为例,其他平台类似
current_ip=$(curl -s ifconfig.me)
aliyun ecs AuthorizeSecurityGroup --RegionId cn-hangzhou \
  --SecurityGroupId sg-xxx --IpProtocol tcp --PortRange 22/22 \
  --SourceCidrIp $current_ip/32 --Policy accept

配合 crontab 每 10 分钟跑一次，IP 变了自动更新，不用登控制台。没配 CLI 的至少把 22 端口换成高位端口（如 22222）减少扫描，见SSH 安全加固进阶。

六、连不上时的排查顺序

# 1. 机器活着吗
ping 你的IP            # 不通:机器关机/安全组挡了 ICMP/平台故障

# 2. 端口通吗(在自己电脑上跑)
telnet 你的IP 8211     # 不通:安全组没放行
nc -vzu 你的IP 8211    # UDP 测试(Linux/macOS)

# 3. 服务在监听吗(登机器看)
ss -ulnp | grep 8211   # 没有:服务端没起或端口配错

# 4. 系统防火墙
sudo ufw status        # Ubuntu
sudo firewall-cmd --list-all   # CentOS

四层顺序：平台 → 安全组 → 服务监听 → 系统防火墙。90% 的「连不上」死在前两层，尤其是 UDP 只放了 TCP。更完整的排查见开服常见报错与解决。

被攻击时的紧急处理：安全组一键「拒绝所有入方向」断网止血，分析完再精准放行，流程见云服务器被攻击怎么办。

七、高级：内网与多机场景

多台机器互访（Web + DB 分离）：

• 同安全组内默认互通（多数平台支持「内网互通」选项）
• DB 安全组只放行 Web 机私网 IP，不放公网
• 跨安全组访问用「安全组 ID 作为来源」，机器扩缩容不用改规则

端口最小化开放的系统性做法见服务器端口安全，安全基线检查见服务器安全基线检查清单。

安全组配一次，受益一辈子：把「该开的开、该关的关、来源尽量窄」变成肌肉记忆，被扫端口、被爆破、被入侵的概率掉一个数量级。

需要现成的游戏云服务器，可以看看财富云计算：一键开服面板，NAT 型无独立公网 IP，价格比独立 IP 机型省一半以上，主流游戏都能快速部署。延伸阅读：Linux 防火墙配置实战、服务器被入侵应急排查、端口速查表。

延伸阅读

1. 网站环境怎么选：LNMP 手动 / 宝塔面板 / Docker / 云开发
2. 问卷表单系统搭建：SurveyKing / Formbricks，数据自己收
3. 图床搭建：Lsky Pro / Lychee，自托管图片托管方案
4. 邮件列表搭建：listmonk 自托管 Newsletter，把读者握在自己手里
5. 文档站点搭建：MkDocs / VuePress / Docsify，产品文档与技术手册方案
6. RSS 阅读器搭建：FreshRSS 自托管，把信息流拿回自己手里
7. 短链接服务搭建：Shlink 自托管，链接数据自己掌握
8. 网站状态监控页搭建：Uptime Kuma，服务器挂了第一时间知道

更多阅读

1. 上一篇：云服务器快照使用指南：误删能找回、升级能回滚的后悔药
2. 下一篇：云服务器远程连接方式大全：SSH、RDP、网页终端、面板怎么选