腾讯云CVM安全组最佳实践：从零基础到企业级防护的完整配置手册

服务器的安全性，很多时候不在于你用什么高级的防护软件，而在于你有没有犯低级错误。我在做代理的过程中，帮客户处理过太多次安全事件。其中最常见的一类是：把MySQL的3306端口对所有IP开放，结果数据库被删库勒索；另一类是把Redis绑在0.0.0.0且没设密码，被人清空缓存写了挖矿脚本。这些攻击都不需要什么高深的技术，只是因为你把不该开的门打开了。

腾讯云CVM的安全组，就是管住这些门的那双手。用好了，能挡住99%的外部攻击；用不好，等于把服务器赤条条扔在公网上。这篇文章从最基础的配置开始，一步步构建企业级的安全组策略，最终目标是让你的服务器对外只露出最少、最安全的端口。

安全组是什么？

把安全组理解成云服务器的“虚拟围墙”。进入服务器的所有网络流量，都要先经过安全组的检查。它根据你在安全组里写的规则来判断——这个IP能不能进来、这个端口能不能用、这个协议能不能通过。如果有规则允许，流量就通过；如果没有规则，默认情况下所有进站流量都会被拒绝。出站流量默认是全部允许的。

腾讯云的每台CVM在创建时都会被绑定一到多个安全组。每个安全组里有若干条规则，规则有方向、来源和目标。关键原则就是“最小权限”：只开放业务必需的端口，所有端口都尽可能限制来源IP。关于来源IP限制，0.0.0.0/0代表全部IP都能访问，这应该只在极少数情况下使用，比如对外的80和443端口。其余管理端口如SSH的22、宝塔面板的8888等，必须限制为特定IP或小的IP段。

基础级配置：一台Web服务器的标准安全组

假设你有一台跑网站的云服务器，需要对外提供HTTP和HTTPS访问，同时你需要远程SSH登录管理。标准的规则如下：

入站规则第一条：放行TCP 80，来源0.0.0.0/0，用于用户HTTP访问，端口80必须对全网开放，否则网站打不开。第二条：放行TCP 443，来源0.0.0.0/0，用于用户HTTPS加密访问。第三条：放行TCP 22，来源为你的固定IP或IP段，用于你远程管理服务器，绝不能使用0.0.0.0/0。做完这三条规则后，其余所有入站端口均不开放。高级设置：如果你的SSH管理端口从默认的22改成了比如1922，则相应调整端口号。

进阶级配置：三层架构的安全组设计

企业应用通常采用三层架构：Web层、应用层和数据层。对应的CVM建议分别设置独立的安全组，而不是共用同一个。

Web层安全组：放行80和443对全网，用于处理用户请求。另外放行本VPC的内网IP段（比如10.0.0.0/16）访问Web服务器的某些端口（如8080），便于应用层和它通信。

应用层安全组：只放行Web层访问它所需要的端口（如8080），来源限定为Web层服务器的内网IP，对外不出网。同时应用层需要访问数据库，因此放行应用层内网IP段至数据库端口的出站规则。

数据层安全组：只允许应用层的内网IP访问数据库的专用端口（如3306），拒绝所有其他来源。这样即使Web层被攻破，攻击者也难以直接横向跳到数据库。

数据库和缓存类服务的铁律

Redis和MySQL默认的端口绝不能对公网开放。这条没有例外。Redis应绑定127.0.0.1或私有IP，并在安全组里不出现6379端口的入站规则。MySQL同样只监听内网IP，安全组里不出现3306。如果确实需要从本地客户端远程管理数据库，只在你当前使用的公网IP下临时放行规则，操作结束后立即删除这条规则。利用堡垒机或VPN先接入内网再管理，是更推荐的方式。

防暴力破解的额外加固

端口和IP限制只是第一道防线，第二道防线是登录控制。Linux下修改SSH默认22端口是基本操作。更安全的做法是禁用root远程登录，创建一个普通用户管理员，需要root权限时再切换。最后是彻底禁止密码登录，只允许SSH密钥认证。对于宝塔面板等管理平台，修改默认8888端口号，设置BasicAuth二次认证，并且可以绑定域名访问，在面板内用完phpMyAdmin等工具即关闭，或为其单独设置访问密码和来源IP限制。

日常维护与检查

配置完安全组之后不是一劳永逸。每月定期检查一次安全组规则列表，关闭不再需要的端口。同时监控安全日志，对高频扫描IP进行主动封禁。腾讯云安全组支持导出规则列表，可以定期做一次审计。

花半小时把这些安全配置做好，比服务器被入侵后花几天时间恢复数据和排查损失，要划算得多。在云安全这件事上，很多时候问题不在于技术有多复杂，而在于你是否重视了那些最基础的配置项。

如果需要更深入咨询了解可以联系全球代理上TG:jinniuge  他们在云平台领域有更专业的知识和建议，他们有国际阿里云，国际腾讯云，国际华为云，aws亚马逊，谷歌云一级代理的渠道，客服1V1服务，支持免实名、免备案、免绑卡。开通即享专属VIP优惠、充值秒到账、官网下单享双重售后支持。不懂找他们就对了。