配置云主机时，端口能连通不代表应该对所有人开放。云主机安全组端口设置教程的核心，是只放行当前服务需要的协议、端口和来源，并在需求变化后及时收回规则。以下按五项规则比较按需开放与固定开放，并给出通用操作步骤。
先分清端口、方向与来源
入站规则控制外部流量能否到达云主机；出站规则控制主机向外发起的连接。规则通常需要指定协议、端口范围和来源地址。以常见服务为例，SSH 通常使用 TCP 22，远程桌面通常使用 TCP 3389，网页服务常用 TCP 80 和 443；实际端口应以软件配置为准。数据库端口如 MySQL 常见的 TCP 3306，一般只应允许应用服务器或管理网络访问，不宜直接面向公网。
安全组的连接跟踪和默认策略因云平台而异，配置前应查看对应产品说明。不要把“端口号常见”当成开放理由，也不要将来源设为所有 IPv4 或 IPv6 地址，除非服务确实需要面向公众提供访问。
五项规则：按需开放与固定开放对比
| 比较项 | 按需开放 | 固定开放 | 选择建议 |
|---|---|---|---|
| 1. 服务是否长期运行 | 临时维护、迁移或排障时开放，结束后关闭。 | 网站等持续提供的服务保留所需端口。 | 先确认服务周期，临时任务设置关闭提醒。 |
| 2. 来源范围 | 可限定到当前办公出口 IP、VPN 网段或指定主机。 | 面向公众的网站可能需要允许更广来源。 | 管理端口优先限制来源；公开服务只开放业务必需端口。 |
| 3. 端口与协议 | 按实际操作开放单个端口和所需协议。 | 长期服务保留准确的端口，不应顺手放开整段端口。 | 例如网页通常使用 TCP 443；除非应用明确需要，不要同时开放无关端口。 |
| 4. 变更频率 | 适合来源地址经常变化或短期任务，但需有人执行开关。 | 适合稳定服务，变更少、运行安排清晰。 | 规则多时添加用途说明，避免长期遗留临时规则。 |
| 5. 暴露与维护成本 | 暴露时间短，操作管理较多，忘记关闭会留下风险。 | 配置简单、连接稳定，但开放范围若过宽，风险持续存在。 | 按最小权限配置，并定期检查规则是否仍有对应服务。 |
照着做：创建并验证安全组规则
- 列出服务需求：记录服务名称、协议、端口、访问方向和使用期限。确认应用监听的端口与主机本地防火墙设置一致。
- 确定来源：管理连接尽量使用固定出口地址或 VPN 网段；公网网页按实际服务需要开放。若地址会变化，优先使用可信的远程接入方式，不要因此把管理端口永久开放给所有来源。
- 添加最窄规则：在云平台控制台选择目标安全组，新增入站规则，填写协议、单端口或必要范围、来源 CIDR 和用途备注。出站规则按业务所需配置，避免不理解规则效果就删除默认项。
- 分阶段测试：先从预期来源测试连接，再从不应获准的网络验证访问被拒绝。可用系统自带的连接测试工具检查端口，但结果还受服务进程、防火墙、路由和网络策略影响。
- 回收临时权限：维护完成后删除临时规则；固定规则则登记责任人和用途，服务下线或端口变更时同步清理。修改远程管理规则前，保留当前会话或其他可用的管理通道，避免误操作造成无法登录。
按场景选开放方式
长期对外服务
如果云主机持续提供网页访问，可固定保留业务实际使用的网页端口，并确保应用只监听需要的接口。SSH 等管理端口应另设来源限制。云主机安全组端口设置教程并不意味着每台主机都要开放相同端口，服务部署变化后要重新核对。
短期维护或临时服务
临时开放应同时限定来源和期限，完成后立即删除。若维护人员的公网地址不固定，可通过 VPN 或云平台提供的受控管理通道接入，再限制管理端口的来源范围。不要仅靠更换 SSH 端口替代来源限制和身份验证。
常见问题
安全组规则可以开放连续端口范围吗？
可以，但范围应与应用实际需求一致。范围越宽，可能暴露的服务越多；优先按单端口配置。
规则已放行，为什么仍连接失败？
检查协议和端口是否正确、来源地址是否匹配，并确认服务正在监听、主机防火墙允许连接，且网络路由没有阻断。
出站规则是否可以全部放开？
是否收紧取决于业务依赖和云平台规则。先列出更新、访问外部 API 等必要连接，再按平台文档调整，避免影响正常运行。
合适的云主机安全组端口设置，是让每条规则都对应明确服务和访问对象：长期业务保留必要端口，临时任务按需开放并及时回收。