安全组与防火墙：端口放行的正确姿势

「服务明明起了就是连不上」，十有八九是端口没放行。云服务器的端口管控有两层。

两层防火墙

• 云安全组：厂商控制台里的虚拟防火墙，实例外层拦截
• 系统防火墙：firewalld/ufw，实例内层拦截，两层都要放行

放行原则

1. 最小开放：只放 80/443 与必要端口，SSH 限源 IP 更佳
2. 数据库端口（3306/6379）永不直接对公网开放
3. 面板端口用完即改或套白名单

排查路径

能 ping 通但连不上 → 先查安全组，再查系统防火墙，最后 ss -tlnp 确认服务真的在监听对应地址。