作为一名新手，当你兴冲冲地买下第一台云服务器，准备大展拳脚部署自己的网站或应用时，大概率会碰到一个让人一头雾水的词：安全组。后台提示你“请在安全组放行XX端口”，你可能会想：“这啥玩意儿？我服务器都启动了，为啥还要单独‘放行’？”

别急，这篇文章就是你的“解惑宝典”。我们将用最形象的比喻，让你3分钟内彻底搞懂它。

一、生动的比喻：把你的云服务器想象成一座房子

为了彻底理解，我们来做个小比喻：

1. 你的云服务器 = 一座房子
   这座房子里有你部署的网站（比如在80端口）、数据库（比如在3306端口）、远程控制服务（比如SSH在22端口）。

2. 互联网上的访问请求 = 想来拜访你的客人（或小偷）
   有想来看你网站的普通用户，也有想帮你管理服务器的你自己，当然，也可能有想溜门撬锁的黑客。

3. 安全组 = 这座房子的保安 + 门禁规则手册
   这个保安非常死板，他只认一本写好的《门禁规则手册》。这本手册上明确规定：谁可以进，从哪个门进。

4. 端口 = 房子的不同门窗

   • 22号门：专门用于管理员远程登录的“秘密通道”。
   • 80号门：网站的大门，所有普通访客都从这里进入。
   • 3306号门：数据库的“后门”，通常只允许服务器内部的程序进出，不让外人进。

现在，关键问题来了！

当你买下这座“房子”（云服务器）时，云厂商派来的这个“保安”（安全组）默认是 “极度悲观” 的。他的那本《规则手册》默认可能是空白的，或者只有最最基础的几条规则。

这意味着什么？

这意味着，所有门窗，全部锁死！ 任何人（包括你自己）都无法通过任何一扇门进入你的房子。

• 现象1：你部署了网站，但别人在浏览器输入你的IP地址，永远打不开。因为访客想走“80号门”，但保安拦住了他，说：“手册上没写你可以进。”
• 现象2：你想用远程工具连接服务器，死活连不上。因为你想走“22号门”，保安同样拦住了你：“手册上没写你可以进。”

这下你明白了吗？“安全组放行”，其实就是你作为房子的主人，去告诉那个死板的保安：“喂，在我们的《门禁规则手册》里加一条，允许某种人从某个门进来！”

二、为什么要这么麻烦？直接全开放不行吗？

好问题！你可能会想：“我把所有门窗都打开，不就没这破事了吗？”

绝对不行！ 这就好比把你家的所有门、窗、包括烟囱都24小时敞开，欢迎任何人（包括小偷）光临。在互联网世界，这叫做 “裸奔” 。

黑客们有自动化工具，24小时不间断地在互联网上扫描那些“门窗大开”的服务器。一旦发现，他们就会试图入侵，窃取你的数据、把你的服务器变成“肉鸡”（挖矿、发动攻击）、或者勒索你。

所以，安全组的核心目的是：最小权限原则。

• 只开启你需要的端口：你需要网站，就只开80/443端口；需要远程登录，就只开22端口。
• 只对需要的来源开放：比如，22端口这种管理端口，最好只对你自己的办公网络IP开放，而不是对全世界（0.0.0.0/0）开放。

安全组，是你云服务器最重要的第一道安全防线。

三、实战：我该如何“放行”？

理论说完了，我们来点实际的。以放行最常用的 80端口（网站） 和 22端口（远程登录） 为例。

操作步骤（各大云厂商界面类似）：

1. 登录你的云服务器控制台。
2. 找到你的云服务器实例，点击进入详情页。
3. 找到 “安全组” 配置选项。
4. 点击 “配置规则”。

接下来，就是编写那本《门禁规则手册》了。你需要添加 “入方向” 规则（即“进入服务器”的规则）。

规则方向	授权策略	协议端口	授权对象	说明
入方向	允许	TCP: 80	0.0.0.0/0	允许所有人访问我的网站
入方向	允许	TCP: 443	0.0.0.0/0	允许所有人访问我的HTTPS网站
入方向	允许	TCP: 22	你的办公IP/32	【建议】 只允许我自己的IP通过SSH登录

参数解释：

• 协议端口：TCP 是大多数服务的协议，80 就是端口号。
• 授权对象：0.0.0.0/0 代表互联网上的 任意IP地址，即对全世界开放。这是一个“宽泛”的规则，用于公开服务。
  • 对于22端口，强烈建议设置为 你的办公IP/32，这样就只有你自己能连，极大地提升了安全性。

保存规则后，通常立即生效。 现在，你的“保安”就拿到了新的手册，他会按照新规则放行对应的访问了。你的网站应该就能正常访问了！

总结

• 安全组放行啥意思？
  就是给你的云服务器设置防火墙规则，明确告诉它：允许外部网络通过哪个端口来访问我。

• 为啥要有这个？
  为了安全！ 默认禁止所有连接，然后按需开启，可以有效防止服务器被黑客攻击，是云安全的基础。

希望这篇博客能帮你拨开迷雾，轻松搞定安全组配置。恭喜你，在云计算的探索之路上又跨过了重要的一关！

---

(本文首发于CSDN，转载请注明出处。)