安全组是云平台给每台服务器配的"门卫名单"：哪些端口放行、哪些来源允许进入，全在它的规则里。它工作在实例之外，就算系统里的防火墙全关，安全组的规则照样生效，是名副其实的第一道防线。
常用端口怎么放行
- 网站必须：80（HTTP）和 443（HTTPS）
- 远程管理：SSH 的端口，建议改成高位端口并限制来源
- 数据库 3306、Redis 6379：永远不对公网开放，走内网调用
最小权限原则
默认拒绝一切，需要什么开什么，这六个字就是全部精髓。落地做法：
- 新建安全组时清空模板自带的规则，从零开始加
- 管理端口在"授权对象"里只填自己的常用 IP 段
- 每季度审查一次规则，忘了用途的端口先关再说
排障小知识
服务明明启动了外部却访问不了，八成是安全组没放行端口；反过来，用端口扫描发现自己开了一堆陌生端口，就是该收网的时候。安全组规则越少越清晰，服务器越安全。