云联信息方法：华为云安全组与 VPC 规划，出事都在默认配置

2026-11-07 1次浏览

新买一台云服务器，急着部署，安全组先选默认，端口全开。上线三个月被扫、被爆破、被挖矿。安全事故的起点，往往就是当初图省事的那一次默认配置。

VPC 先划网段

按环境划：生产、测试、办公各一个 VPC，网段不重叠。全部塞在一个 VPC 里，出问题时隔离不了，排查也乱。

Web 层、应用层、数据层分在不同子网。数据层子网不绑定公网 IP，只允许应用层访问。这一条能挡掉大部分数据泄露风险。

安全组默认拒绝，只放必要的端口和来源。管理端口不要对全网开放，改成指定 IP 或跳板机。数据库端口只允许应用服务器网段访问。

安全组作用于实例，有状态；网络 ACL 作用于子网，无状态。日常用安全组就够，需要子网级隔离时再加 ACL。

运维登录统一走跳板机，跳板机做登录审计和录屏。多人共用 root 密码直连服务器，出了事查不到人。

跨 VPC 通信不用开公网，用对等连接走内网。既省钱又安全。注意网段不能重叠，规划时就要留好余量。

每次改安全组规则，记录改了什么、为什么改、谁改的。半年后某个端口为什么开着，能查得到。

每季度扫一遍安全组，把来源为 0.0.0.0/0 的规则列出来，逐条确认是否必要。这一条能发现大部分遗留风险。

把验证过的网络和安全组配置做成模板，新项目直接套用。每次手工配，早晚会漏。

新建实例时顺手选默认安全组，往往包含二十二端口对全网开放。建实例的模板里把默认组改成最小权限组，能堵住大部分疏忽。

改路由、改安全组出问题，要能快速回退。改之前导出配置，改之后立刻验证连通性，这两步别省。

子网掩码留出足够地址，业务增长时不用重划。地址不够用再改，等于把已有服务全部迁一遍。

安全组不只能控入站，出站规则同样重要。限制服务器主动外连的端口，能拦住被入侵后的数据外传。

同城两个可用区做双活，延迟低、切换快。跨城双活延迟高，适合做灾备而不适合做主用。

云上安全的第一道门是网络配置。VPC 分隔环境、子网分层、安全组白名单、运维走跳板机，这四件事是基础。默认配置最危险，因为没人会回头检查。定期审计规则，把全放通的端口收掉。云联信息【资深云服务专家微信：cloud7591】可以协助做一次网络安全配置体检。