文档中心

私有网络

安全组

安全组概述

简介

安全组采用白名单机制，由多条规则组成，用于管控网卡出入流量。仅放行匹配规则的流量，其余流量均会被拦截。每张网卡都必须加入安全组。

例如，云服务器通过80端口对外服务，其网卡关联的安全组需添加放通入方向80端口流量的规则，以确保外部能正常访问服务。

安全组常与网络ACL搭配使用，网络ACL用于控制子网的出入流量。了解更多

分类

类别			操作权限	说明
默认安全组			用户具有除了创建、删除之外的全部权限	默认安全组作为兜底的安全组，保障每张网卡均关联安全组。其随VPC创建而创建，随VPC删除而删除。
自定义安全组	普通安全组	用户具有全部权限	用户自行规划，自行管理。
自定义安全组		CIDR-Only安全组	用户具有全部权限	在普通安全组的基础上，为了满足单个安全组关联IP数量巨大的场景，扩展了CIDR-Only安全组。二者对比请参见普通安全组 vs CIDR-Only安全组。
托管安全组			用户仅支持查看，不支持修改	仅随云服务（如NAT网关、VPN网关）创建而创建，仅随云服务删除而删除。

安全组规则

注意事项

安全组有状态，返回数据（TCP连接的老化时间为900s、ICMP连接的老化时间为30s）自动放通。换言之，网卡主动访问时，仅出方向规则允许即可；网卡被访问时，仅入方向规则允许即可。

建议谨慎放通SSH（22）、Redis（6379）、MemCache（11211）、MySQL（3306）、SMB（445）、RDP（3389）、SQLServer（1433）等业务常用端口。了解更多

规则组成

参数	说明
入方向/出方向	流量的方向。入方向：网卡的入方向流量。出方向：网卡的出方向流量。
优先级	安全组规则的优先级。优先级可以相同。取值范围为1～100，1为最高优先级。
策略	流量的策略。若优先级相同，则拒绝优先于允许。允许：放通流量。拒绝：拒绝流量通行。适用于在放通大段CIDR流量时，拒绝其中指定IP的流量通行。
协议类型	支持ALL、TCP、UDP、ICMP、ICMPV6。
端口范围	根据不同协议类型对目的端口的范围进行限定。
源地址/目的地址	源地址：仅入方向配置。目的地址：仅出方向配置。

说明

使用限制

下表中支持调整的配额项，如果默认配额无法满足需要，您可前往配额中心提升相应配额。

限制项	最大值	是否支持调整
单个安全组可关联网卡的私网IP数量（包含IPv4和IPv6）	6000个 CIDR-Only安全组无此限制。	否
单张网卡支持关联的安全组数量	5个	否
单个安全组支持添加的规则数量	入方向：IPv4规则200条，IPv6规则200条出方向：IPv4规则200条，IPv6规则200条	是
单个安全组可以引用的安全组ID数量	10个	否
单账号单地域可创建的安全组数量（包括默认安全组）	300个	是
单个安全组可添加的自定义标签数量	50个	否

配置流程

实践建议

安全组放通IP地址和端口后，请确认云服务器实例的防火墙是否放通，若防火墙未放通，则流量依然会被拒绝。详情请参考如何配置Linux实例防火墙、如何配置Windows云服务器防火墙？。

最近更新时间：2026.05.29 11:31:31

这个页面对您有帮助吗？

有用

无用