你有没有遇到过，点进腾讯云控制台，手忙脚乱地想给自己的云服务器配置安全组，却把规则都搞错，导致服务一上线就被炸弹般的入侵攻击？别怕，今天这篇文章就手把手教你，如何在腾讯云里给服务器的安全组绑上固定IP，让你的防火墙像铁闸一样稳稳挡住任何外来的“蟑螂”，只有被你授权的访客能顺利穿行。
先把舞台布好：假设你已经在腾讯云创建好了一个CVM实例，并把它放进了某个可用区。我们要给它一个定向的安全组，确保外部只能从你指定的IP发起请求。这样一来，即使别人的B服暴露了大量的端口，你也能把这些大门全部关好，只留给自己和你的业务伙伴那盏小灯通行。
打开安全组的入口，第一步是复制一份从容器化的“安全运维”模版。你可以直接使用默认的安全组，也可以新建一个叫“固定IP-白名单”的自定义组。记得留心其描述，可别写成“有问题的组”，让后面自己找不到。
接下来就是关键的进站规则：点击“添加入站规则”，把“协议端口”选择为TCP，端口号填你业务需要的，例如80/443如果是web服务，或者22如果你想SSH进去。协议字段填完后，下方会出现“源IP”填写框。
源IP要填固定IP的完整CIDR范围：像192.168.1.100/32。/32意味着只允许这一个IP访问。如果你想允许一个小范围的同事IP, 就改成192.168.1.0/24；千万别写成 0.0.0.0/0 直接开放全网，否则等你灵感点空你的浏览器。
还得一点点小技巧：在规则列表里，所有允许通过的EIP可以单独标红或加备注，以便以后快速识别。别担心人工步骤太多，这一步其实是你手里的厨师刀，切的越细，菜做得越好。
双步检查，永远都是安全的好习惯。安全组被创建后，记得把它绑定到你的CVM实例上。如果忘了直接往右边拖拽，或者在“实例属性”里手动指定，都可以做到。
有个常见误区是：有些人误以为安全组规则只对入站生效，实际上你还可以定义出站规则。若你想限制服务器只能访问特定域名（比如你的Redis cluster的IP），记得在出站规则里也加上同样的固定IP或CIDR。在腾讯云，还能用域名做出站过滤，让安全更细致地符合业务需求。
安全组与NAT还有一点关系：若你服务器背后的VPC使用了NAT网关，务必在NAT网关的规则里也加入相关的固定IP允许列表，否则即使安全组正常，有时候NAT层也会把请求踢掉。
玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink。
别忘了，还可以设置规则的优先级。腾讯云默认是按顺序从上到下执行的，先定义“拒绝所有”规则作为兜底，再在上面叠加几条“允许”规则。这样既能避免“把所有人关在院子里”也能给真正需进来的同事打开门。
最后一句话：记得定期巡检自己的安全组，别让老旧的规则累积成灰尘。除非你不想被暴力破解。反正我们还得继续玩Demo里的 whitelist 记录，挖掘上面的规律，才能让网络安全持续逼近完美。