网站空间云服务器㉔云服务器端口管理与安全组联动

网站空间云服务器㉔云服务器端口管理与安全组联动

上一篇㉓ 云服务器被入侵后的重装与加固里聊过，重装后门看住了，平时端口怎么管才不让坏人进来。

两层闸要协同

云上端口防护是双层的：安全组在网络层放行，系统防火墙在主机层再拦一道。两层都开才算通，任一层关死都进不来，配置时要两边对得上。

开一个端口就是开一道门

每开放一个公网端口，就是给外界多开一道门。数据库 3306、Redis 6379 这类绝不对公网开，只放内网；远程端口只对自己 IP 开。这和云服务器安全组的最小权限原则完全对齐。

临时端口用完即收

调试时临时开的端口，排查完立刻回收，别留着「下次用」。遗留的临时放行是入侵最常见的入口，也呼应了被入侵后的处置逻辑。

常见误区

误区：安全组开了系统就通。两层规则不一致时，流量照样被挡，排错要从两端一起看。

端口清单

• □ 数据库等敏感端口是否只在内网
• □ 远程端口是否只对自己 IP 开放
• □ 临时开放的端口是否用完即收
• □ 安全组与系统防火墙是否一致

门管好了，怎么让快照自动替你留后悔药？下一篇聊自动快照策略。下一篇㉕ 自动快照策略与保留周期顺着这条线继续展开。

本文收录于徐果萍文集《论持久站 网站空间》，徐果萍博客原创首发。