腾讯云国际 CVM 安全组配置与更换指南

腾讯云国际 CVM 的安全组是一组作用于实例网络访问的有状态规则，可理解为实例级虚拟防火墙。更换安全组看似只是控制台操作，实际会立即改变入站或出站流量，因此重点不是“点哪个按钮”，而是如何在不中断业务的前提下完成规则审查、绑定切换和结果验证。本文依据腾讯云国际官方文档整理，不把其他云平台的控制台流程混作同一套操作。

安全组解决什么问题

安全组通过入站规则控制哪些来源能够访问 CVM，通过出站规则控制 CVM 可以访问哪些目标。规则通常包含来源或目标、协议、端口和允许或拒绝策略。安全组是有状态的：一条连接如果被允许建立，其返回流量会按连接状态处理，不必为返回方向机械地再写一条完全对称的规则。

每台 CVM 至少需要关联一个安全组。同一个安全组可以关联多台实例，一台实例也可以关联多个安全组。多个安全组同时生效时会涉及优先级和规则组合，不能简单理解为“最后绑定的覆盖前面的”。腾讯云国际官方文档说明了规则顺序和多安全组优先级，变更前应查看实例当前关联关系，而不是只检查准备新增的安全组。

安全组不替代操作系统防火墙、应用鉴权、补丁管理或 Web 应用防火墙。安全组开放 443 端口只能允许网络连接到达实例，不能保证网站没有应用漏洞；限制 SSH 来源也不能替代密钥登录、禁用弱口令和审计登录行为。合理做法是把安全组作为纵深防御中的第一层网络边界。

变更前先建立规则清单

在控制台操作前，先列出业务实际需要的连接。至少应记录服务名称、流量方向、协议、端口、来源或目标、用途、责任人和计划保留时间。对外网站通常需要 HTTP 或 HTTPS；Linux 远程管理通常使用 SSH；Windows 远程管理通常使用 RDP，但管理端口不应无条件向整个互联网开放。

来源范围应尽量精确。管理端口可限制为企业出口 IP、VPN 网段或受控跳板机，而不是 0.0.0.0/0。数据库端口应优先只允许应用服务器所在的私有网段或特定安全组。临时排障规则要写明到期时间，处理结束后及时删除。

还要检查依赖关系：负载均衡是否需要访问后端端口，监控系统是否需要采集指标，实例是否要访问软件仓库、DNS、时间同步或外部 API。只审查入站而忽略出站，可能造成应用能被访问却无法完成依赖调用。

若旧安全组中存在难以解释的规则，不应直接原样复制。先从流量日志、应用配置和监控中验证是否仍在使用，再决定保留、收紧或移除。无法确认用途的高风险开放规则，应由业务负责人和安全负责人共同确认。

创建新的安全组

登录腾讯云国际 CVM 控制台后，进入安全组管理页面，选择与目标实例相同的地域并创建安全组。安全组是地域级资源，选择错误地域会导致后续无法绑定目标实例。

腾讯云国际可能提供预设模板，也支持自定义规则。生产环境通常更适合从自定义或最小开放规则开始。若使用预设模板，创建后仍需逐条检查，不要因为模板由控制台提供就认为所有开放范围都适合当前业务。

创建完成后，分别配置入站和出站规则。入站规则中的“来源”是发起连接的一方，出站规则中的“目标”是实例要访问的一方。协议和端口应与应用实际监听配置一致。规则添加后，建议由另一名维护人员复核，尤其是管理端口、数据库端口和全网段规则。

给实例绑定或更换安全组

在 CVM 实例管理页面找到目标实例，进入安全组配置入口。控制台可能提供列表视图和详情视图，按钮名称会随界面更新而变化，但操作目标相同：查看当前已绑定安全组，并调整关联关系。

稳妥的切换顺序是“先加后减”：

确认新安全组已包含业务所需的最小规则。
保留旧安全组，先把新安全组关联到目标实例。
从受控网络执行连通性测试，包括业务端口、管理端口和必要的出站依赖。
检查应用错误率、连接数、负载均衡健康检查和系统日志。
确认新规则完整后，再解除不再需要的旧安全组。
再次验证服务，并记录变更时间、操作人和回滚方式。

这种方式可以降低因遗漏规则导致远程失联的概率。安全组规则修改通常无需重启 CVM 即可生效，所以错误规则也可能立即影响现有或新建连接。不要把重启实例当作安全组变更的固定步骤。

批量变更多台实例时，先选择一台非关键实例或小比例实例作为灰度组。验证通过后再逐步扩大范围。一次性修改全部生产实例，会放大规则遗漏的影响，也使故障定位更困难。

如何安全开放常见端口

Web 服务应优先使用 HTTPS，并将 443 开放给实际用户来源。若需要 80 端口做跳转，应确保应用确实只执行预期重定向。管理端口应限制来源，优先通过 VPN、零信任接入或跳板机访问。不要为了排障长期开放所有端口。

数据库、缓存和消息队列通常不应直接暴露到公网。它们应部署在私有网络中，只允许明确的应用安全组或私有网段访问。若业务确实需要跨网络连接，应使用受控网络通道、传输加密和应用身份验证，并保留审计日志。

ICMP 是否开放取决于监控和排障需要。允许 Ping 并不等于服务安全，也不能替代应用层健康检查。应只开放所需类型和来源，并结合实际监控方案决定。

变更后怎样验证

验证不能只看控制台提示“成功”。应从允许的来源测试端口确实可达，再从不允许的来源确认连接被阻止。对 Web 服务检查状态码、TLS 证书和关键业务接口；对 SSH 或 RDP 检查受控来源可登录、非授权来源不可连接；对内部服务验证应用到数据库、缓存和监控端点的连接。

同时观察 CVM 系统日志、应用日志、负载均衡健康状态和监控告警。如果绑定多个安全组，要重新检查最终生效结果。若出现业务异常，优先恢复旧安全组关联，再根据日志定位遗漏规则，而不是连续扩大开放范围。

建议定期审查安全组。重点查找向全网开放的管理端口、已离职人员使用的来源地址、过期临时规则、重复或相互矛盾的规则，以及不再关联任何实例的安全组。规则命名和描述应能解释用途，避免几个月后无人敢删。

常见错误

第一类错误是把安全组当成端口清单，只写端口而不限制来源。第二类错误是直接删除旧安全组，导致管理通道和业务依赖同时中断。第三类错误是把阿里云国际、腾讯云国际等不同平台的规则优先级和控制台步骤混为一谈。概念可以相互参考，具体行为必须以各平台官方文档为准。

第四类错误是认为“安全组已配置”就代表绝对安全。网络边界只降低暴露面，实例仍需要及时更新系统和应用、使用强身份认证、保护密钥、限制管理权限并监测异常行为。云管家可以协助梳理腾讯云国际和阿里云国际的网络访问策略，但最终规则仍应依据客户实际业务和合规要求确认。