核心要点（TL;DR）
- 云安全组是分布式防火墙，作用于实例网卡；服务器防火墙是主机层防护。
- 安全组规则优先级通常按拒绝优先或序号匹配，需明确默认策略。
- 常见误区：只开安全组忽略主机防火墙，或规则顺序错误导致阻断。
- 排查时先检查安全组规则，再查主机防火墙状态，最后验证端口监听。
痛点引入：为什么你的端口总是“莫名”不通？
很多运维同学遇到过这样的场景：在云控制台安全组里明明放行了80端口，但外部访问就是超时；或者服务器上iptables规则配置正确，但流量依然被拦截。这往往是因为对服务器防火墙和云安全组的规则优先级与作用范围理解不清。本文将从实战角度拆解两者的区别，梳理常见配置误区，并提供可落地的排查步骤和命令，帮你快速定位问题。
一、本质区别：一个在云上，一个在主机
云安全组是云平台提供的分布式防火墙，作用于实例的网卡层面，控制进出实例的流量。它独立于操作系统，在数据包到达主机前就进行过滤。而服务器防火墙（如iptables、firewalld、ufw）运行在操作系统内核，对到达主机的数据包进行二次过滤。两者是串联关系：流量必须先通过安全组，才能到达主机防火墙。
| 对比项 | 云安全组 | 服务器防火墙 |
|---|---|---|
| 作用位置 | 虚拟网络层（网卡） | 主机内核网络栈 |
| 规则优先级 | 通常按序号或允许列表匹配，默认拒绝 | 按规则顺序匹配，默认策略可配置 |
| 管理方式 | 云控制台/API | 命令行/配置文件 |
| 生效范围 | 绑定实例的所有网卡 | 本机所有流量 |
理解这个区别后，排查端口不通时就应该遵循“先安全组，后主机防火墙”的顺序。
二、规则优先级：安全组与主机防火墙的匹配逻辑
不同云厂商的安全组规则优先级机制略有差异，但核心逻辑相似：规则按优先级从高到低匹配，一旦匹配即执行动作（允许或拒绝），不再继续匹配。以阿里云为例，安全组规则优先级为1-100，数值越小优先级越高，默认拒绝所有未匹配流量。腾讯云则按规则序号从小到大匹配，默认拒绝。AWS安全组默认拒绝所有入站，仅允许规则中明确允许的流量。
主机防火墙方面，iptables采用“规则链”顺序匹配，匹配到即执行目标动作（ACCEPT/DROP/REJECT），默认策略通常为ACCEPT或DROP。firewalld则基于区域（zone）管理，默认public区域拒绝除明确允许外的流量。
关键点：安全组和主机防火墙的规则是“与”关系，必须两者都放行，流量才能通过。因此，配置时务必同步检查两端。
三、常见配置误区与排查步骤
误区1：只开安全组，忽略主机防火墙
很多新手以为在云控制台放行端口就万事大吉，但服务器上可能启用了firewalld或iptables，默认拒绝所有入站。排查命令：
# 查看firewalld状态
systemctl status firewalld
# 查看iptables规则
iptables -L -n -v
# 查看ufw状态
ufw status verbose如果发现防火墙开启且未放行端口，需添加规则。例如firewalld放行80端口：
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --reload误区2：安全组规则顺序错误
安全组规则有优先级，如果先配置了“拒绝所有”的规则，再配置“允许80”的规则，由于拒绝规则优先级更高，允许规则不会生效。正确做法是将允许规则放在拒绝规则之前，或使用更精确的源IP。检查方法：在云控制台查看安全组规则列表，确认允许规则的优先级数值小于拒绝规则。
误区3：开放0.0.0.0/0到高危端口
将SSH（22）、RDP（3389）等管理端口开放给所有IP是极其危险的。应限制源IP为办公网络或跳板机。修改安全组规则，将源IP改为特定CIDR。同时，主机防火墙也应做同样限制：
# 仅允许192.168.1.0/24访问22端口
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP误区4：忽略出站规则
安全组默认出站规则通常为允许所有，但某些严格环境可能默认拒绝。如果服务器无法访问外网，检查安全组出站规则是否放行。同时，主机防火墙也可能限制出站，需检查OUTPUT链。
排查步骤清单
- 在云控制台查看安全组入站/出站规则，确认端口和源IP正确，规则顺序合理。
- 登录服务器，检查主机防火墙状态及规则：
iptables -L -n -v或firewall-cmd --list-all。 - 确认服务监听地址和端口：
ss -tulnp | grep :80。 - 从外部使用telnet或nmap测试端口连通性：
telnet 服务器IP 80。 - 若仍不通，检查网络ACL（如有）和路由表。
四、配置检查清单与最佳实践
为避免配置错误，建议每次变更后执行以下检查清单：
- 安全组规则是否遵循最小权限原则？仅开放必要端口，源IP尽量精确。
- 安全组规则优先级是否合理？允许规则优先于拒绝规则。
- 主机防火墙是否与安全组规则一致？避免遗漏或冲突。
- 是否定期审计规则？清理过期规则，删除0.0.0.0/0的高危端口开放。
- 是否启用日志记录？安全组和主机防火墙均可开启日志，便于追溯。
对于主机防火墙，建议使用firewalld的富规则（rich rule）实现更精细控制，或使用iptables保存规则：iptables-save > /etc/iptables/rules.v4。
五、防护建议与工具推荐
在复杂环境中，统一管理安全组和主机防火墙策略是一项挑战。AegisX 提供云安全组与主机防火墙的集中管理能力，支持规则合规检查与自动修复，帮助您避免配置误区。例如，AegisX 可以自动检测安全组中开放0.0.0.0/0的高危端口，并告警或自动收敛。结合其主机入侵检测功能，可实现从网络边界到主机层的纵深防御。
行动建议：立即检查你的安全组和主机防火墙规则，使用上述清单逐项核对，并考虑引入自动化工具降低人为错误风险。
常见问题（FAQ）
云安全组和服务器防火墙到底有什么区别？
云安全组是云平台提供的分布式防火墙，作用于实例的网卡层面，控制进出流量；服务器防火墙（如iptables/firewalld）运行在操作系统内部，过滤到达主机的数据包。两者是互补关系，安全组负责网络边界，主机防火墙负责最后一道防线，需同时配置。
安全组规则优先级是怎么定的？
不同云厂商规则不同：AWS安全组默认拒绝所有，规则按允许列表匹配；阿里云安全组规则有优先级（1-100），数值越小优先级越高，默认拒绝；腾讯云安全组规则按序号匹配，先匹配先生效，默认拒绝。务必查阅文档明确默认策略，避免误判。
为什么安全组开了端口还是连不上？
可能原因有三：1）主机防火墙（iptables/firewalld）未放行该端口；2）服务未监听正确地址（如只监听127.0.0.1）；3）安全组规则方向或协议错误。排查步骤：先用telnet测试端口，再检查主机防火墙规则，最后确认服务监听状态。
安全组规则配置有哪些常见误区？
常见误区包括：1）开放0.0.0.0/0到高危端口（如22、3389）；2）规则顺序错误导致允许规则被拒绝规则覆盖；3）只配置入站规则忽略出站规则；4）误删默认规则导致所有流量被阻断；5）未定期审计冗余规则。建议遵循最小权限原则，定期清理。
如何检查服务器防火墙和云安全组配置是否正确？
检查清单：1）云控制台查看安全组入站/出站规则，确认源IP和端口最小化；2）服务器上执行iptables -L -n -v或firewall-cmd --list-all查看规则；3）使用ss -tulnp确认服务监听；4）从外部使用nmap或telnet测试端口连通性。建议保存配置基线，变更时对比。