阿里云安全组怎么设置？端口开放入门教程
很多人在服务器上装好了Nginx、MySQL，本机测试一切正常，浏览器访问却一直超时；或者远程连接好好的，改了个配置就连不上了。这类问题十有八九出在安全组上。安全组是阿里云给每台实例配的虚拟防火墙，端口开不对，服务就"藏"在服务器里出不来。这篇文章带你从零理解安全组，并给出可以照抄的端口配置方案。控制台界面细节可能随版本调整，以实际页面为准。
安全组是什么
安全组本质上是一组有状态的访问规则，作用在实例的网卡层面：入方向规则决定谁能访问你的服务器，出方向规则决定你的服务器能访问谁。可以把安全组理解为小区门禁：
- 实例是一间间房子；
- 安全组是楼栋门禁，访客要先过这一关；
- 系统防火墙（如iptables、firewalld）是房间自己的锁。
两层都放行，服务才能真正被访问。安全组规则由协议类型、端口范围、授权对象（来源地址）和策略（允许或拒绝）组成；同一安全组内的实例之间默认内网互通，跨安全组则按规则判断。
常用端口建议
| 端口 | 用途 | 建议 |
|---|---|---|
| 22 | Linux远程SSH | 放行，建议限制来源IP |
| 3389 | Windows远程桌面 | 放行，建议限制来源IP |
| 80 | HTTP网站 | 按需放行 |
| 443 | HTTPS网站 | 按需放行 |
| 3306 | MySQL | 不建议对公网开放，走内网或指定IP |
| 6379 | Redis | 不建议对公网开放，务必设强密码 |
| 21 | FTP | 按需放行，优先考虑SFTP |
入门原则：入方向默认只放行22、3389、80、443这四个端口，其他端口按业务需要逐个添加；数据库、缓存类端口尽量走内网，不暴露公网。授权对象写0.0.0.0/0表示对所有来源开放，网站端口通常可以这样配，但22、3389这类管理端口建议改成自己常用的IP段，降低被扫描爆破的风险。
按场景配置的参考
不同业务场景需要放行的端口组合不同，直接照着配可以少走弯路：
| 场景 | 建议放行的入方向端口 | 备注 |
|---|---|---|
| 纯学习练手 | 22 | 只保留SSH，最干净 |
| 个人博客 | 22、80、443 | 网站入口对全网开放 |
| Windows环境 | 3389、80、443 | 3389建议限制来源IP |
| 带数据库的应用 | 22、80、443 | 3306、6379走内网访问 |
| FTP传文件 | 21及被动端口段 | 优先改用SFTP |
配置完成后，隔一段时间回头审视一次：已经下线的服务，对应端口要及时收回，规则越少越好维护；多人协作时，还可以给规则加备注，避免时间久了没人记得某条规则的用途。
设置步骤
以放行80端口为例：
- 登录阿里云控制台，进入ECS或轻量应用服务器管理页面；
- 找到目标实例，进入"安全组"（轻量应用服务器为"防火墙"）配置页；
- 点击添加规则，方向选择"入方向"；
- 协议类型选TCP，端口范围填80/80，授权对象按需填0.0.0.0/0或指定网段；
- 策略选"允许"，保存即可。
保存后规则即时生效，不需要重启服务器。如果配置后仍然访问不通，按顺序排查：安全组是否放行、系统防火墙是否放行、服务是否监听在0.0.0.0、端口是否被其他进程占用。
常见误区
- 改了没生效就重启服务器。 安全组即改即生效，问题多半出在系统防火墙或服务本身，重启解决不了；
- 一键放行全部端口图省事。 相当于把门禁拆了，扫描器很快就会找上门，数据泄露、挖矿病毒大多从这里进来；
- 只管入方向不管出方向。 出方向默认放行即可，但入侵后的数据外传也走这个方向，排查时不要忽略；
- 多个安全组叠加产生冲突。 实例可以绑定多个安全组，规则合并生效且拒绝优先，排查时逐个检查绑定的安全组。
常见问题
Q1：安全组和系统防火墙是一回事吗？ 不是。安全组在云平台网络层，系统防火墙在操作系统层，两层都放行服务才能被访问。
Q2：修改规则需要重启实例吗？ 不需要。安全组规则保存后即时生效，已有连接一般也不受影响。
Q3：为什么建议22端口限制来源？ 22端口是SSH入口，对全网开放会被持续扫描爆破，限定常用IP来源能明显降低风险。
Q4：0.0.0.0/0是什么意思？ 表示所有IPv4来源地址。对网站80、443端口通常可以接受，对管理类端口不建议这样配置。
Q5：端口放行了还是连不上怎么办？ 依次检查：安全组规则、实例系统防火墙、服务监听地址是否为0.0.0.0、服务是否已启动，逐层定位问题。
行动建议
新服务器到手先做两件事：把入方向收敛到22、3389、80、443，把数据库和缓存端口收进内网。配置安全组是一次性投入，几十分钟就能把安全基线立起来。如果你还在用老旧机器或者配置不够用，也可以顺便去阿里云活动页对比实时价格——新购活动机型（轻量2核2G约38元/年起、ECS e实例约99元/年）配合新机加固，比旧机反复修补更省事。安全组规则细节以阿里云官网实时规则为准。