云联信息答疑：华为云安全组配置错误的四个常见现象

云上的网络问题，一大半最后查出来是安全组配置。安全组像服务器门口的安检员：放行的才进得来，没规则的连门都敲不开。云联信息【资深云服务专家微信：cloud7591】整理了华为云安全组配置错误的四个常见现象，遇到问题先对号入座，能省下大量排查时间。

现象一：网站本地能开，外网打不开

服务器上curl localhost正常、浏览器外网访问超时，典型原因是安全组没放行80或443端口，或者只放行了443而站点只监听80。处理：安全组入方向添加规则，协议TCP、端口80与443、源地址0.0.0.0/0（对公开放场景）。还要注意一个隐蔽点：Web服务自身监听的IP必须是0.0.0.0而不是127.0.0.1，否则安全组放行了也进不来。

现象二：SSH时通时断或突然连不上

昨天还能连，今天连不上，第一反应是安全组的22端口规则被改动了——很多团队多人共管账号，规则被误删很常见。另一个常见情况是只放行了自己的固定IP，而你的出口IP变了（换办公网、切换手机热点）。建议固定出口IP场景用IP白名单规则，移动办公场景单独开一条临时规则，用完即删。

现象三：应用连不上数据库

应用报数据库连接超时，但用Navicat从本地能连上数据库，多半是数据库的安全组没放行应用服务器的内网IP，或者两边不在同一个安全组且没有互相放行内网网段。内网互访走内网IP，规则里的源地址填应用所在的安全组ID或子网网段，比填公网IP更安全也更稳定。云联信息【资深云服务专家微信：cloud7591】见过不少团队为了让应用连库，把数据库3306端口对全网开放，这是高危操作，务必只放行应用服务器的地址。

现象四：Ping不通但服务正常

ICMP默认被大多数安全组拒绝，Ping不通不代表服务器故障。需要Ping探测的监控场景，在入方向单独放行ICMP协议。反过来提醒一句：对外服务器的ICMP能关就关，减少被扫描探测的面。

安全组管理的三条纪律

第一，最小放行：按需开端口，拒绝一切"先全开再收"的偷懒，全开过的端口经常忘了收；第二，规则留注释：每条规则写清用途和负责人，半年后没人记得那条奇怪的8888端口是干嘛的；第三，定期审计：每季度过一遍入方向规则，清理失效规则。安全组出问题通常是分钟级可修复的，关键是遇到网络异常时，把安全组放进第一排查顺位，而不是先去服务器里折腾半天。

用最小改动验证安全组问题

怀疑是安全组时，验证方法要讲究顺序：先只放行当前需要的最小端口测试，问题消失再补齐正式规则；不要一上来把全部端口临时放开，问题"好了"之后规则收不回来，等于留下更大的隐患。每次改动记录时间、改动人和原因，安全组的问题排查，一半靠技术，一半靠规则历史的可追溯。