华为安全组_安全组怎么设置，有哪些规则？

华为云安全组是云服务器实例的虚拟防火墙，通过定义入站和出站规则来控制进出实例的流量，是保障云上业务安全的基础组件。 华为云安全组配置看似简单，但很多用户在初期会遇到规则设置不当导致服务不可达或过度开放端口的问题，本文将系统梳理安全组的概念、配置方法、常见误区以及最佳实践,帮助您高效管理云上访问控制。

什么是华为云安全组？为什么需要它？

安全组其实就是一个虚拟防火墙，它工作在实例级别，每个云服务器（ECS）实例可以关联一个或多个安全组，安全组中的规则决定了哪些流量可以进入或离开实例，相比传统硬件防火墙，安全组完全由软件定义，创建和修改规则即时生效,不需要重启实例。

为什么需要安全组？因为云服务器默认暴露在公网，如果没有安全组规则限制，所有端口都对公网开放，极易被攻破。相当一部分安全事件源于安全组配置过于宽松，安全组为你提供了一层精细的访问控制，让你能够根据业务需求，只开放必要的端口,拒绝其他所有流量。

华为云安全组配置步骤有哪些？

安全组的配置主要分为四步：创建安全组、添加规则、关联实例、验证规则,下面我们一步步来看。

创建安全组

登录华为云控制台，进入“虚拟私有云 VPC”服务，在左侧导航栏找到“安全组”，点击“创建安全组”，你需要填写安全组名称和描述，并选择所属的VPC，建议为不同业务角色创建独立的安全组，例如Web服务器组、数据库组、管理组等。

添加入站规则

入站规则控制外部流量进入实例的权限，点击安全组名称进入详情页，选择“入方向规则”，点击“添加规则”,常见的配置项包括：

• 优先级：数值越小优先级越高，默认规则优先级为100，自定义规则可以设置1-100之间的数值。
• 协议端口：常见协议如TCP、UDP、ICMP等，可以指定端口范围，如80、443或22。
• 源地址：允许访问的源IP地址段，建议使用CIDR格式，如0.0.0.0/0表示所有IP,但生产环境应限制为特定IP或安全组ID。
• 描述

  ：便于后期维护的备注信息。

  

添加出站规则

出站规则控制实例对外部网络的访问，默认情况下，华为云安全组允许所有出站流量，但你可以根据安全需求收紧出站规则，例如只允许访问特定目标IP和端口，添加方法与入站规则类似，只是方向变为“出方向”。

关联实例

安全组创建后，需要关联到云服务器实例才能生效，在实例详情页的“安全组”标签页，可以修改安全组，选择已有安全组或新建安全组，一个实例最多可以关联5个安全组,规则会取并集生效。

完成以上步骤后，建议使用telnet或在线端口扫描工具验证规则是否生效,确保只有预期的端口对外开放。

安全组规则设计常见误区

源地址设置过于宽松

很多用户为了方便，直接使用0.0.0.0/0开放所有端口，这会导致安全漏洞，正确做法是只开放需要公开的端口，如80、443，其他端口限制IP范围,SSH端口应仅允许管理员IP段访问。

忽略出站规则

默认出站规则允许所有流量，但在一些等保合规场景下，需要限制出站方向，防止数据泄露，建议根据业务需要，明确允许出站的目标地址和端口,拒绝其他流量。

规则数量过多且无优先级规划

一个安全组最多支持200条规则（入站+出站合计），过多的规则不仅影响性能，也给维护带来困难，建议合并相同作用的端口范围，并为重要规则设置高优先级,确保关键访问不被低优先级规则误拦截。

华为云安全组和网络ACL有什么区别？

很多用户容易混淆安全组和网络ACL，行业共识认为两者结合使用能达到更安全的纵深防御效果,下表列出主要差异：

常见场景下的安全组规则设置

Web服务器场景

假设你有一个Web服务器，需要对外提供HTTP（80）和HTTPS（443）服务，同时允许管理员通过SSH（22）远程维护,推荐的入站规则如下：

• 优先级10：允许TCP 80端口，源地址0.0.0.0/0（所有用户访问）
• 优先级20：允许TCP 443端口，源地址0.0.0.0/0
• 优先级30：允许TCP 22端口，源地址为管理员IP地址段（如203.0.113.0/24）
• 最后一条默认规则：拒绝所有入站流量（优先级100）

数据库服务器场景

数据库服务器通常只允许应用服务器访问，不应暴露在公网，假设应用服务器安全组ID为sg-app，数据库服务器安全组sg-db入站规则可以设置为：

• 优先级10：允许TCP 3306（MySQL）或5432（PostgreSQL），源地址为sg-app安全组ID（跨安全组访问）
• 最后一条默认规则：拒绝所有入站流量

这样只有关联了sg-app安全组的实例才能访问数据库,其他来源均被拒绝。

多层应用场景

在Web+应用+数据库三层架构中，可以分别为每一层创建独立安全组，并严格控制层间访问，Web层安全组开放80/443端口，并允许来自应用层安全组的访问；应用层安全组允许来自Web层安全组的访问，并允许访问数据库层安全组；数据库层只允许来自应用层安全组的访问，通过安全组ID引用,实现精确的微隔离。

华为云安全组使用最佳实践

• 最小权限原则：只开放业务必需的端口，源地址尽量精确到IP段或安全组ID，避免使用0.0.0.0/0。
• 定期审计规则：定期检查安全组规则，删除不再使用的冗余规则,避免权限扩散。
• 使用安全组日志

  ：华为云VPC流日志可以记录安全组规则匹配情况,帮助你分析异常流量和优化规则。

• 分离管理：为不同环境和角色创建独立的安全组，例如开发环境、测试环境、生产环境分别使用不同的安全组,避免相互影响。
• 结合网络ACL：在子网层面再设置网络ACL作为额外防护,形成纵深防御。
• 规则变更走审批流程：在多人协作环境中，安全组规则变更应经过审核,避免误配导致业务中断。

华为云安全组收费吗？

安全组本身不收取任何费用，你可以免费创建任意数量的安全组和规则，与安全组关联的流量（如公网流量）会按照云服务器实例的带宽或流量计费标准收取费用，如果需要使用VPC流日志功能来记录安全组流量，流日志会按日志存储量收费，安全组功能本身是免费的,放心使用。

华为安全组常见问题（Q&A）

安全组规则优先级是如何工作的？

安全组规则按优先级数值从高到低（数值越小优先级越高）依次匹配，一旦匹配到允许规则，后续规则不再匹配，默认规则优先级为100，自定义规则可以设置1-100之间的优先级，如果自定义规则优先级为1，将优先生效，建议为重要规则设置高优先级,并保留一条低优先级拒绝所有规则作为兜底。

安全组是否可以跨区域使用？

安全组是区域级别的资源，不能跨区域直接使用，每个区域需要单独创建安全组，如果你有多区域业务，需要分别在每个区域创建安全组并配置规则，你可以通过华为云控制台跨区域复制安全组规则,但无法直接关联到其他区域的实例。

安全组支持哪些协议和端口？

安全组支持常见的协议包括TCP、UDP、ICMP、GRE等，在控制台添加规则时，可以选择协议模板，如SSH（22）、HTTP（80）、HTTPS（443）、RDP（3389）等，也可以自定义协议和端口范围，对于ICMP协议，通常用于Ping测试,需要单独放行。

正确配置安全组是云上安全运营的基础，通过理解其工作原理并遵循最佳实践，你可以有效降低被攻破的风险，同时保障业务的高可用性。