云平台安全组端口配置的关键，是明确谁能通过哪个端口访问哪台云服务器。安全组通常像一层虚拟防火墙，规则可控制入站和出站流量；配置不当，可能导致服务无法连接，也可能把管理端口暴露给不必要的访问者。
先确认端口、方向和来源
设置前先查清应用实际监听的端口，以及流量从哪里来、要到哪里去。常见示例包括：SSH 管理使用 TCP 22，HTTPS 服务使用 TCP 443，PostgreSQL 数据库默认使用 TCP 5432；应用也可能改用自定义端口，应以服务配置为准。
- 入站规则：控制外部访问云服务器的流量，例如允许用户访问 443。
- 出站规则：控制服务器向外发起的连接，例如访问软件更新源。是否需要限制，要结合业务依赖判断。
- 源地址：指定允许访问的客户端范围。管理端口优先只开放给可信办公网络或个人固定出口地址。
- 端口范围：能只开放单个端口就不要填写宽泛范围，也不要因省事开放全部端口。
不同云平台的控制台名称和默认规则可能不同。安全组通常关联云服务器或网卡；部分平台的规则具备有状态特征，响应流量可按平台机制返回，但应查看所用产品说明，不能据此忽略出站策略。
按场景配置，而不是照抄端口表
公开网站
对外提供网站时，通常只需开放业务实际使用的 HTTP 80 或 HTTPS 443。若网站只提供 HTTPS，可不开放 80；若需要把 HTTP 请求跳转到 HTTPS，则要确认应用或前置服务确实监听 80。
远程管理与数据库
SSH 的 22 端口和 Windows 远程桌面常用的 TCP 3389 都属于管理入口，不宜对所有公网来源开放。数据库端口如 5432 通常只应允许应用服务器或受控运维网络访问，不应直接向公众开放。端口号只是常见默认值，应用修改过监听设置时，安全组必须与实际端口一致。
控制台配置步骤
- 登录云平台控制台，打开目标云服务器对应的安全组，先核对实例和网卡，避免改错资源。
- 进入入站规则页面，新增规则并选择协议。需要加密网站访问时，选择 TCP，填写实际端口 443。
- 设置来源范围：公网网站按业务需要允许外部访问；SSH、远程桌面及数据库则尽量限定为可信来源。避免将管理端口的来源设为所有 IPv4 地址。
- 检查优先级、允许或拒绝动作及规则备注。若存在多条相似规则，确认冲突时平台按什么顺序处理。
- 保存后，从允许的网络发起连接，再检查服务器系统防火墙和应用监听状态。确认可用后，删除临时放宽的规则。
这套流程也适用于云平台安全组端口配置的复核：逐条记录用途、来源和负责人，变更时只调整必要规则。若平台支持规则复制或模板，复制后仍要重新核对目标实例与开放范围。
连接失败时按层排查
端口规则放行不代表服务一定可访问。先确认安全组关联正确、入站规则匹配，再检查操作系统防火墙是否拦截；随后确认应用已启动并监听对应端口，且监听地址允许相应网络连接。最后检查客户端网络、路由或负载均衡设置。排查时可从受控客户端测试，不要为了验证而长期开放全部端口。
公网来源范围越宽，暴露面通常越大；端口范围越宽，越难判断每条规则的必要性。云平台安全组端口配置应遵循最小开放原则：只开放业务所需端口，只允许必要来源，并在服务变更后及时清理旧规则。
常见问题
安全组放行了，为什么还是连不上？
还需检查系统防火墙、服务是否运行、监听端口是否一致，以及实例是否关联了正确安全组。
能把 SSH 22 端口开放给所有来源吗？
技术上可能可以，但会扩大暴露范围。优先限制为可信来源，并结合密钥认证等管理措施。
开放端口后要重启服务器吗？
通常安全组规则保存后即可生效，不一定需要重启；具体生效方式以云平台说明为准。
云平台安全组端口配置应多久复查一次？
没有适用于所有环境的固定周期。至少在应用迁移、端口变更、人员权限调整或临时规则使用后复核并清理。