安全组与防火墙：哪些端口必须开、哪些绝不能开

一句话：对公网只开三个口：80、443，以及限制来源 IP 的 SSH 端口。数据库^释数据库数据库是结构化存储与管理数据的系统。MySQL 是关系型数据库，用表与行组织数据、支持事务；Redis 是键值型内存数据库，常用于缓存、计数与队列。、缓存^释缓存缓存是把访问频繁的数据临时存放在更快的存储介质中，以减少对慢速数据源的访问。常见位置有浏览器、CDN、应用内存、Redis。、面板端口要么不开，要么限定 IP。

端口清单

• 80：HTTP，必须开（用于 301 跳转到 HTTPS^释HTTPSSSL 证书是用于在浏览器与服务器之间建立加密通道的数字证书，部署后网站通过 HTTPS 访问。它解决传输过程中的窃听与篡改问题，并验证网站身份。 与证书验证）。
• 443：HTTPS，必须开。
• 22 / 自定义 SSH 端口：只对自己的出口 IP 开。
• 8888 等面板端口：同上，最好不对公网开。
• 3306（MySQL）、6379（Redis）、27017（MongoDB）：绝不对 0.0.0.0 开放。需要远程连就用跳板或 SSH 隧道。

配置步骤

1. 先看安全组云控制台 → 实例 → 安全组 → 入方向。默认往往只放了 22，需要手动加 80、443。
2. 来源写具体面向全网的写 0.0.0.0/0；管理类端口写自己的固定 IP，不要图省事写全网。
3. 再看系统防火墙firewalld 用 firewall-cmd --list-all，ufw 用 ufw status。宝塔面板里也有独立的防火墙设置，三处要对齐。
4. 验证用在线端口检测工具从外网探测，不要只在本机 curl。

注意：数据库端口暴露在公网，是服务器被勒索的最主要原因。攻击者用脚本全网扫 3306，弱密码几分钟就被拿到，随后整库被加密勒索。Redis 未设密码且对公网开放，还会被写入 SSH 公钥直接拿到 root。

出方向也要留意

多数云默认出方向全放行。如果做过收紧，要注意服务器需要访问外网的部分：系统更新源、证书续期（ACME 验证）、对象存储上传、短信与支付回调。出方向被挡的表现是「本地正常、线上超时」。

资料来源

• 阿里云 / 腾讯云安全组文档：入方向与出方向规则、优先级与来源写法。
• firewalld 与 ufw 官方文档：区域、规则与端口放行。
• Redis 官方安全建议：禁止公网暴露、启用认证与保护模式。