云服务器安全组是做什么用的？-余初云

云服务器安全组是做什么用的？

2026年6月8日上午9:40 • 技术教程

安全组属于一类虚拟防火墙，拥有有状态的数据包筛选能力，主要用于对云主机、负载均衡器、云数据库等资源实施网络访问管控，对实例层级的进出流量加以约束，属于关键的网络安全隔离措施。

通过设定安全组策略，能够放行或阻断组内实例的出向与入向流量。

安全组特性

安全组属于逻辑层面的分组机制，可把同一区域中具备同类网络安全隔离诉求的云主机、弹性网卡、云数据库等资源归入同一安全组当中。

安全组在未配置任何策略的情况下，缺省状态下会拒绝全部流量，因此需要手动添加对应的放行策略。

安全组具备有状态特性，对于已被许可的入向流量，系统会自动允许其回传，出向流量同理。

您可随时对安全组策略进行调整，新策略即刻生效。

关于安全组的使用约束及配额上限，可查阅使用约束总览中安全组相关限制部分。

安全组策略由以下几部分组成：

安全组内部策略存在优先级之分。优先级由策略在列表中的排列位置决定——排在顶部的策略优先级最高，优先匹配；排在底部的优先级最低。

若出现策略冲突，系统默认采用排列更靠前的那条。

当有流量进入或离开绑定了某安全组的实例时，系统会从策略列表顶部逐条向下匹配，直到最后一条。一旦匹配到某条策略（无论放行还是拒绝），便停止继续匹配后续策略。

一个实例可绑定一个或多个安全组。当实例同时绑定了多个安全组时，各安全组会按从上到下的顺序依次匹配执行，您也可以随时调整各安全组之间的优先级。

创建安全组时，可选用余初云提供的两类安全组模板：

模板名称	说明
放通全部端口模板	开通所有入站与出站流量
放通常用端口模板	开通 TCP 22 端口（Linux SSH 登录）、80/443 端口（Web 服务）、3389 端口（Windows 远程桌面）、ICMP 协议（Ping）以及内网互通

若上述模板无法满足实际需求，也可创建自定义安全组，详情可参考创建安全组及安全组应用案例。

若您对应用层（HTTP/HTTPS）存在安全防护需要，可单独采购Web 应用防火墙（WAF），WAF 能为您提供应用层面的 Web 安全防护能力，有效抵御 Web 漏洞攻击、恶意爬虫及 CC 攻击等威胁，保障网站与 Web 应用的安全。

安全组的使用流程如下图所示：

建议项	说明
创建安全组	调用 API 购买云主机时建议明确指定安全组；未指定时将采用系统自动生成的默认安全组。默认安全组不可删除，默认策略为放行全部 IPv4 流量，创建后可按需修改。
实例防护策略变更	建议优先在现有安全组内调整策略，无需重新创建新的安全组。
管理策略	修改策略前可先导出当前安全组做备份；若新策略产生不良影响，可导入此前备份的策略进行回滚。
规则条目较多时	可使用参数模板进行批量管理。
关联安全组	可将具有相同防护诉求的实例归入同一安全组，无需逐个实例单独配置。但不建议单个实例绑定过多安全组，不同安全组策略之间的冲突可能造成网络不通。

防火墙（Cloud Firewall，CFW）是一款面向公有云环境的 SaaS 化防火墙产品，主要为用户提供互联网边界防护能力，满足云上访问控制统一管理与日志审计的安全管理诉求。

云防火墙除了具备传统防火墙功能外，还支持云上多租户与弹性扩展能力，是用户业务上云的首道网络安全基础设施。

在实际应用场景中：

安全组通常部署在云主机等云产品的边界，用于实现云产品所属安全组之间的访问控制。防火墙则部署在 VPC 之间的边界或互联网边界，用于实现 VPC 间或余初云与互联网之间的访问控制。

具体关系如下图所示：

在以下场景中，仅靠安全组无法满足需求，建议采用防火墙来实现访问控制：

场景	说明
资产暴露与漏洞排查	了解云主机在互联网上的暴露面及漏洞状况，并借助 IPS 入侵防御与虚拟补丁功能，强化网络漏洞防护。
域名级外联管控	按域名实现主动外联控制，提升业务安全性。
区域级访问控制	按地域实现访问限制，例如一键封禁海外 IP 的访问。