在云上运行应用，防火墙就像城市的城门，决定了谁能进来、谁不能进来。对华为云来说，放行规则不是随便写的，一旦规则写错，常常是外网无法访问、内网资源被误拦，甚至是业务被卡住。所以，一份清晰、可执行的放行方案，往往比一味加大带宽更重要。本文围绕华为云的防火墙与安全组两类入口，结合实践场景，讲清怎么把需要对外暴露的端口、协议和来源一个个放开，同时把不该对外的访问严格锁死。
先把网络拓扑理清楚，再动手配置。华为云环境通常涉及到VPC、子网、弹性云服务器ECS、以及可能的云防火墙（Cloud Firewall）产品。VPC内的实例通常通过安全组进行访问控制，安全组是面向实例的状态检测型防火墙，默认拒绝未匹配的入站流量，默认放行出站流量（或遵循你在出站规则里设定的策略）。公网访问的前置条件通常包括：实例所属的安全组规则、是否开启了公网访问、是否绑定了EIP或弹性公网IP、是否有网络ACL以及是否有云防火墙策略共同作用。理解这些关系，才能把放行规则写在“对的位置、对的层级”。
华为云的放行策略并非单一入口，而是多层次：一层是安全组内部的入站/出站规则，一层是子网层级的网络ACL（如有配置），再往上可能还有云防火墙的策略组。不同层级的规则组合起来才会决定最终流量的命运。对开发者来说，优先级通常体现为“越具体的规则越先生效”，这也是调试时最常见的坑之一。因此，在动手前，最好先画出流量图：你的Web前端需要哪些端口对外暴露？数据库管理端口需要从哪些IP段访问？运维SSH是否仅允许从固定办公IP访问？只有把疑问写清楚，放行才有方向。
在具体操作层面，放行通常分为两大路径：使用安全组进行实例级放行、或使用云防火墙进行策略级放行。安全组适合日常服务器流量的细粒度管理，例如单台或多台服务器的端口开放与源IP控制。云防火墙则更像企业边界网关，适合跨区域、跨账户的统一策略管理，以及对常见攻击的快速拦截、日志集中分析和统一告警。无论哪种方式，核心原则是“最小暴露、逐步放开、可追溯”，确保每条放行规则都能被日志记录和后续审计跟踪。
在华为云控制台里，创建/修改安全组规则时，你需要填写四大要素：方向（入站/出站）、协议（TCP/UDP/ICMP等）、端口或端口范围、来源（入站）或目的地（出站）的IP段。对于入站规则，来源通常填写公网IP段或特定的私有网络段；对于出站规则，目标可以是0.0.0.0/0或特定目标。记得勾选并保存规则，否则你的放行就成了空规则。为了避免误放行带来的安全隐患，建议采用“逐条测试、逐步放开”的策略，并在上线前进行端到端的连通性验证，例如从外部客户端测试HTTP/HTTPS、SSH等关键端口的连通性。随后可以开启应用层日志和安全组日志，帮助你确认流量轨迹。
常见场景一：放行Web服务端口。对一个Web服务器，通常需要放行端口80（HTTP）和/或443（HTTPS）。在入站规则中，源地址填写0.0.0.0/0，协议TCP，端口范围80、443。出站规则通常是允许服务器访问外部DNS、镜像源、更新服务器等所需端口，端口范围建议设置为0-65535以确保所需的应用组件能正常上网，但如果你要提升安全性，可以仅放行常用的出站端口，比如DNS（53/TCP-UDP）、HTTPS（443）等。放行过程中，注意你的Web应用是否通过反向代理、负载均衡器等中间件暴露，相关中间件的端口也需要在对应的安全组规则中放行。相关日志可以帮助你确认静态资源、API接口等是否已经能够正确访问。
常见场景二：限制管理员SSH访问。直接对外开放SSH端口会带来较高的被攻击风险。推荐做法是将SSH限制在特定IP段内：入站规则来源填写你办公/家用固定公网IP段或公司VPN出口IP段，协议TCP，端口范围22。若你使用私有网络跳板机（bastion），甚至可以将SSH放行在跳板机所在的子网的安全组中，跳板机再通过内网访问目标服务器。这种分层放行大大降低暴露面。为了运维便利，可以使用私有密钥认证、限制密码登录、定期轮换密钥，并开启SSH登录日志，以便后续审计。出站规则方面，往往只需要允许必要的更新和NTP时间同步等基础服务即可。
常见场景三：数据库以及内部服务的受控访问。数据库端口如MySQL的3306、PostgreSQL的5432等，若需要从应用服务器或自建维护主机访问，应该把来源限定在应用服务器所在的安全组或私有网络段，例如源地址填写应用服务器所在子网的CIDR。对外公开数据库端口并不是最佳实践，除非你使用经授权的跳板、VPN或专线。对于外部对外的只读查询、分析等需求，可以设置专门的只读账户和受限来源，以降低风险。对于管理端口和备份端口，建议和生产环境分开，避免同一来源拥有全部访问权。通过严格的端口、源、目的地组合，可以把潜在的纵向横向移动路径降到最低。进一步的安全性还能通过云防火墙的策略来实现统一的拦截和日志聚合。
云防火墙作为华为云的独立产品，提供策略组、策略、以及细粒度的源/目的地址控制等能力。使用云防火墙时，可以将规则分配到不同的策略组，按应用类型、业务线或区域来划分。放行规则在云防火墙中的执行顺序通常也是由优先级来决定，越具体、范围越小的规则越先命中。典型做法是先建立“对外暴露的入口”策略，如开放80/443给公网，随后再建立“管理端口访问”策略，只允许管理员IP段访问SSH或RDP等管理端口，最后再建立“数据库/后端服务”策略，限定来源子网或VPC对数据库端口的访问。云防火墙通常还提供可观测日志、告警和阻断记录，帮助你追溯异常访问。要注意的是，云防火墙与安全组的配合关系：流量在到达实例前往往需要先经过云防火墙策略检查，再进入实例的安全组规则，层层把关。为了避免路由环节中的误拦，建议在上线前用真实流量做全链路测试，尽量覆盖常见的业务场景与异常场景。
除了核心的放行规则，别忘了对网络ACL、子网网关等底层控件进行核对。在华为云VPC中，网络ACL能够对进入子网的流量进行二次控制，和安全组类似，但它对同一子网下的所有实例生效，且通常优先级要高于实例级别的规则。因此，当你在安全组做了放行时，仍然需要检查子网ACL是否对相同方向的流量有拒绝规则，避免误拦。对跨区域、跨账户的复杂场景，使用云防火墙进行集中化管控能更方便地实现统一策略、集中日志和统一告警。要点在于：先确认业务需求，再把规则拆分成“入口—边界”、“内部服务”、“运维管理”等三大类，逐步对接到相应的安全组/ACL/云防火墙策略。再把测试用例覆盖到，每次变更后都要回归测试清单，确保没有新开辟的漏洞。
为了让配置更真实一些，下面给出一个简化的实现清单，帮助你把需要的端口逐步放开，同时避免常见坑：1) 画出业务流量图，列出需要对外暴露的端口及来源。2) 在安全组中创建入站规则：允许80/443来自0.0.0.0/0，允许22来自办公IP段。3) 对出站规则，至少包含DNS和时间同步端口，必要时放行应用更新所需端口。4) 若使用云防火墙，创建入口策略组，先放开公网访问的Web入口，再创建管理入口组，限定源地址。5) 针对数据库、缓存等内部服务，限定来自应用服务器的源地址和端口范围，尽量避免对外公开。6) 启用日志与告警，定期回顾并清理不再使用的规则。7) 如果遇到连接失败，先用另一台同网络的机器做同样测试，排除目标实例自身应用问题，再逐层排查防火墙规则、ACL、路由表等。
广告时间小打探：玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink。广告只是顺手一笔，真正要紧的还是你对放行逻辑的掌握与落地执行。你完全可以把这段小插曲忽略，也可以把它作为你在工作之余的轻松时刻。无论如何，核心在于规则的精准、测试的完整以及日志的可追溯性，这也是任何云原生安全设计中不变的基石。接下来如果你要把以上思路落地成具体的配置，可以按你现有的控制台界面逐项操作，别忘了在改动前后都进行连通性测试和回滚演练，以确保业务不中断。最终你会发现，防火墙放行的艺术，其实就是把复杂的需求用清晰的规则条目拆解开来。
既然讲到这里，问题往往并不止于“怎么放行”，而是“哪些组合会让这台云服务器更稳妥地对外暴露、对内保护”。你也许会发现，最难的不是写出一条规则，而是把全局的访问边界画清、把授权路径走对。若你已经准备好把这些规则写成你自己的落地方案，那么就从今天的第一条入站规则开始，逐步测试、逐步放开，直到网络的每一个角落都像你预期的那样安静地工作在许可之中。放行的艺术，或许就在你对流量的理解里逐渐成型。