在服务器运维的日常工作中，安全组与防火墙是两道最基础、也最关键的防线。它们一个作用于网络边界，一个作用于主机内部，共同决定了哪些流量可以进入、哪些流量必须被拒绝。然而，很多维护人员在实际操作中，往往因为对两者关系理解不清、规则顺序随意、默认策略设置不当，导致服务器在不知不觉中处于“裸奔”状态——看似有防护，实则门户大开。
一、安全组与防火墙不是二选一，而是层层过滤
安全组通常工作在云平台或虚拟化网络的层面，它像是一道分布式的虚拟防火墙，作用于实例的网卡进出方向。防火墙则更多运行在操作系统内部，直接管理本机的网络栈。两者是串联关系：流量先经过安全组，再到达主机防火墙，最后才进入应用监听端口。任何一层放行，另一层拒绝，最终结果都是拒绝；但任何一层拒绝，另一层放行，最终结果依然是拒绝。真正危险的是：两层都放行，或者其中一层被误设为“全部允许”。
很多初学者会认为“我已经配了安全组，主机防火墙就可以关掉”。这种想法非常危险。安全组只能管控到网卡层面的流量，对于来自同一安全组内部、或者通过本地回环、容器网络、虚拟网桥进入的流量，安全组往往无法精细控制。而主机防火墙可以基于进程、用户、接口、连接状态做更细粒度的判断。两者互补，缺一不可。
二、默认策略：最容易“裸奔”的地方
无论是安全组还是防火墙，默认策略都应该是“拒绝所有入站，允许所有出站”。但现实中，很多配置为了图省事，将入站默认策略设为“允许”，然后靠一条条拒绝规则去封堵。这种“黑名单”模式极其危险：只要有一条该拒绝的规则没写，或者写错了端口、协议、来源地址，整个服务器就暴露了。更可怕的是，有些规则会意外放行所有流量，例如将来源设为“0.0.0.0/0”却只打算放行某个管理端口，结果却把数据库、缓存、内部API全部暴露。
正确的做法是“白名单”模式：默认拒绝一切入站，只显式放行必要的端口和来源。例如，只允许特定管理网段访问SSH端口，只允许负载均衡器网段访问业务端口，其余全部丢弃。出站方向可以默认允许，但如果服务器承担敏感角色，出站也应限制，防止被入侵后主动外连。
三、规则顺序与优先级：一步错，步步错
安全组和防火墙的规则通常按顺序匹配，一旦匹配到允许或拒绝，就停止继续匹配。因此，规则的顺序比规则本身更重要。常见错误包括：把“允许所有”放在最前面，后面再多的拒绝规则都形同虚设；把“拒绝某个IP”放在“允许该IP所在网段”之后，导致拒绝无效；在防火墙中先放行了已建立连接，再放行新连接，看似合理，但如果状态跟踪被绕过，依然会出问题。
更隐蔽的错误是协议与端口不匹配。例如，只想放行TCP的443端口，却写成了“允许所有协议到443端口”，结果UDP 443也被放行；或者想放行ICMP用于探测，却写成了“允许所有ICMP”，导致被用于放大攻击。还有端口范围写法错误，比如“8000:9000”在某些平台表示8000到9000，在另一些平台却表示两个独立端口，配置前必须确认语法。
四、状态跟踪与连接追踪：看不见的漏洞
现代防火墙大多支持状态跟踪，即只放行“已建立连接”的返回流量，而不需要为每个返回方向单独写规则。这本身是好事，但如果状态表被填满，或者连接追踪超时设置过长，就会导致资源耗尽，甚至被利用进行拒绝服务攻击。安全组通常是无状态的，或者只支持有限的状态跟踪，因此对于非对称路由、多路径网络，必须显式放行返回流量，否则会出现“请求能进、响应出不去”的怪象。
另一个容易被忽视的点是分片包。某些防火墙默认允许分片包通过，攻击者可以将恶意载荷拆分到多个分片中，绕过基于端口的过滤。正确做法是：对于不允许分片的场景，直接丢弃分片包；对于必须支持分片的场景，启用分片重组后再过滤。
五、配置变更：最危险的时刻
绝大多数“裸奔”事故发生在配置变更之后。运维人员为了临时调试，添加了一条“允许所有”的规则，调试完却忘记删除；或者为了排查连通性，临时关闭了防火墙，事后忘记开启；又或者修改了默认策略，却没有同步更新安全组和防火墙两边的规则，导致一边放行、一边拒绝，业务中断后干脆把两边都改成允许。
为了避免这类问题，必须建立变更流程：任何规则变更前，先记录当前配置；变更时，只做最小化修改，并设置过期时间或注释；变更后，立即从外部和内部两个方向验证端口连通性，并检查日志确认没有异常放行。对于关键系统，建议使用配置管理工具，将安全组和防火墙规则代码化，每次变更都经过审核和回滚测试。
六、日志与监控：裸奔了也要能发现
即使配置再谨慎，也可能存在未知漏洞。因此，必须开启安全组和防火墙的日志功能，记录被拒绝和被允许的流量。重点关注：频繁被拒绝的源地址、非工作时间的入站连接、来自异常地理位置的访问、以及针对常见端口的扫描行为。没有日志，服务器就像在黑夜里裸奔，被入侵了也毫无察觉。
总之，安全组和防火墙的配置，核心原则只有三条：默认拒绝、最小放行、双层校验。任何一条被违反，都可能让服务器从“有防护”变成“裸奔”。配置错一步，不是少了一道锁，而是整扇门都打开了。
