轻量应用服务器怎么配置安全组和防火墙规则？-云计算导航

在使用轻量应用服务器（如腾讯云轻量应用服务器 Lighthouse、阿里云轻量应用服务器等）时，配置安全组和防火墙规则是保障服务器安全的重要步骤。下面以 腾讯云轻量应用服务器 为例，介绍如何配置安全组和系统防火墙规则。

一、什么是安全组和防火墙？

名称	说明
安全组	云平台层面的虚拟防火墙，用于控制进出服务器的网络流量（基于IP、端口、协议）。属于第一道防线。
系统防火墙	操作系统自带的防火墙（如 Linux 的 `firewalld` 或 `iptables`），用于更细粒度控制。

建议：同时配置安全组 + 系统防火墙，实现双重防护。

二、配置安全组规则（以腾讯云 Lighthouse 为例）

登录腾讯云控制台
进入「轻量应用服务器」列表
找到你的实例，点击进入详情页
在左侧菜单选择 「防火墙」
默认已有几条规则（如 SSH 22 端口、HTTP/HTTPS）

添加自定义规则示例：

✅ 允许外部访问 Web 服务（HTTP/HTTPS）

协议类型：TCP
端口：80, 443
源 IP：0.0.0.0/0（表示所有公网 IP 可访问）
备注：提供网站服务

✅ 允许 SSH 远程登录（建议限制 IP）

协议类型：TCP
端口：22
源 IP：建议填写你自己的公网 IP（如 123.123.123.123/32），避免开放给所有人
备注：远程管理

❌ 不要开放以下高危端口：

23（Telnet）
3389（RDP，Windows）
445、135、139（SMB，易被攻击）
全端口（0~65535）开放

⚠️ 建议原则：最小权限原则 —— 只开放必要的端口。

三、配置系统防火墙（Linux 为例）

即使安全组已设置，仍建议启用系统级防火墙（如 ufw 或 firewalld）。

方法 1：使用 `ufw`（Ubuntu 推荐）

# 安装 ufw
sudo apt update && sudo apt install ufw -y

# 允许 SSH（必须先做，否则可能断连）
sudo ufw allow ssh
# 或指定端口
sudo ufw allow 22/tcp

# 允许 HTTP 和 HTTPS
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# 启用防火墙
sudo ufw enable

# 查看状态
sudo ufw status verbose

方法 2：使用 `firewalld`（CentOS/RHEL/AlmaLinux）

# 安装并启动 firewalld
sudo yum install firewalld -y
sudo systemctl start firewalld
sudo systemctl enable firewalld

# 开放服务或端口
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --permanent --add-port=22/tcp

# 重载配置
sudo firewall-cmd --reload

# 查看开放的服务
sudo firewall-cmd --list-all

四、最佳实践建议

建议项	说明
🔐 限制 SSH 访问 IP	在安全组和系统防火墙中只允许特定 IP 访问 22 端口
🔄 定期审查规则	删除不再使用的端口开放规则
🛡️ 使用密钥登录	禁用密码登录 SSH，改用 SSH 密钥对
📦 关闭无用服务	如不使用 FTP、数据库网络访问，应关闭对应端口
🧰 配合云监控	开启云平台的安全告警（如异常登录）

五、常见问题

Q：配置后无法访问网站？

检查安全组是否开放了 80/443 端口
检查 Web 服务是否运行（systemctl status nginx）
检查系统防火墙是否拦截（ufw status / firewall-cmd --list-all）

Q：SSH 连接不上？

检查安全组是否允许 22 端口
检查是否误封自己 IP
使用控制台的「VNC 登录」进入修复防火墙设置

总结

✅ 正确配置流程：

安全组：在云平台控制台设置，仅开放必要端口（如 22、80、443）
系统防火墙：在服务器内部启用 ufw 或 firewalld，再次过滤流量
定期维护：清理过期规则，监控异常连接

这样可有效防止暴力破解、DDoS、未授权访问等风险。

如有具体云厂商（如阿里云、华为云），也可提供针对性配置说明。