宝乐云安全组操作教程：添加端口规则与检查生效

本文以允许一个指定来源访问 TCP 8443 为例，演示在宝乐云会员中心创建安全组、添加规则和检查配置。适用于产品详情中提供“安全组”功能的产品；没有此入口的产品，请按其实际网络管理方式处理，不要照搬其他产品的配置。

开始前，请确认业务实际使用的协议、端口，以及允许访问者的公网出口 IP，并保留当前可用的远程管理连接。住宅云禁止建站、80 端口不开放，这类产品限制不能通过添加安全组规则解除。

一、进入产品的安全组页面

1. 登录宝乐云会员中心，进入需要配置的产品详情。
2. 打开“安全组”，查看已有安全组及其关联情况。
3. 已有合适的安全组时，点击“查看规则”检查配置；需要单独管理一组规则时，再点击“创建安全组”。

修改前先确认安全组的使用范围。一个正在使用的安全组可能影响关联的其他实例，不要只看当前打开的这一台产品。

二、创建一个便于识别的安全组

点击“创建安全组”，填写名称和描述，再点击“确定”。名称建议包含业务用途，便于后续核对和维护。本例填写：

字段	示例
名称	文档演示-端口8443
描述	安全组操作教程演示

创建后先查看已有规则。新建安全组可能已经带有默认规则，不能把它当成没有任何放行项的空安全组。

三、添加指定端口的入方向规则

在对应安全组点击“查看规则”，进入规则列表后点击“添加规则”。本例填写如下：

字段	本例填写	实际使用时怎么选
方向	入方向	允许外部客户端访问服务器上的服务。
协议	TCP	与程序实际使用的协议一致；UDP 服务应按 UDP 配置。
端口	8443	填写实际需要开放的端口；连续端口可按页面提示填写，如 8000-9000。不要为了方便扩大范围。
授权 IP	198.51.100.25/32	填写允许访问者的公网出口 IP 或所需网段；IPv4 地址后加 /32 表示一个地址。
描述	文档演示-TCP8443	记录业务用途、协议和端口，便于识别。

198.51.100.25/32 仅为文档示例，必须换成你的实际允许来源。它不是宝乐云为你分配的地址，也不是需要照抄的固定值。授权 IP 通常填写访问者对外显示的公网出口地址，不要直接填电脑的 192.168.x.x 局域网地址。

核对填写内容后点击“确定”，回到规则列表确认记录已经保存。需要放行多个不连续端口时，按实际用途分别配置，不要用一个过大的连续范围代替。

四、核对全部规则，再检查关联情况

查看“入方向”和“出方向”，确认新规则的协议、端口、授权 IP 和描述正确，并检查其余已有规则。

新增一条指定来源规则，不会自动撤销已有的宽范围允许规则。例如，同一个端口已经允许 0.0.0.0/0 访问，再添加 198.51.100.25/32，不能据此认为该端口已经只允许一个来源。0.0.0.0/0 表示所有 IPv4 来源；如果你的目标是限制访问，必须一起核对其他匹配的允许项。

检查 SSH、远程桌面等管理端口时，先保证自己的实际出口地址仍有可用的访问规则。不要在没有备用管理通道的情况下，一次删除所有默认规则。

1. 返回当前产品的安全组列表，找到需要使用的安全组，点击该行的“关联”。这里关联的是当前打开的实例，操作前先核对产品信息。
2. 在“操作确认”窗口中核对提示。本例为“确定将当前实例关联到安全组‘文档演示-端口8443’吗？”确认实例和安全组均正确后，点击“确定”。

3. 回到列表后点击“刷新”，查看顶部是否显示“当前安全组：文档演示-端口8443”。实际操作时，这里应显示你选择的安全组名称。
4. 核对顶部出现“解除关联”，对应安全组行显示“取消关联”，实例数也与实际关联数量相符。不要把关闭确认窗口当成关联成功的判断依据。

如果当前实例已经使用其他安全组，先核对原有规则及切换影响，保证管理连接和必要业务仍有对应规则。关联结果确认后，再继续检查实际业务能否连接。

五、从允许的来源验证访问

先确认服务器上的程序已经启动，正在监听正确的端口，并且没有只监听本机地址。然后在允许的来源网络中，用实际业务客户端连接服务器，检查页面或业务功能是否正常。

Windows 客户端可用 PowerShell 检查 TCP 连接。本例中的 203.0.113.10 是示例服务器地址，执行时替换为你的实际公网 IP；NAT 产品还应按实际映射关系使用对外访问端口。

Test-NetConnection -ComputerName 203.0.113.10 -Port 8443

TcpTestSucceeded 为 True，表示这次 TCP 连接建立成功，接着继续检查实际业务。为 False 时，按下一节逐项定位。这个命令的端口测试针对 TCP，不能用来判断 UDP 服务是否可用。

如果本次目标是限制来源，还应从未获准的网络发起一次新的连接作对照，并核对是否存在其他宽范围放行。只验证自己能连接，不能证明来源限制已经达到预期。

六、规则保存后仍然连不上，检查什么

检查项	重点核对
目标产品与关联	配置的安全组是否确实用于当前这台产品，协议与方向是否正确。
程序监听	程序是否已运行，是否监听实际业务端口，是否仅绑定 127.0.0.1 或 ::1。
系统防火墙	Linux 或 Windows 系统内部是否允许该协议、端口和来源；安全组放行不会自动修改系统防火墙。
实际来源	客户端当前的公网出口是否与授权 IP 一致；切换网络或出口地址变化后，需要重新核对。
公网地址与映射	是否连接正确 IP；NAT 产品的对外端口、目标端口和规则端口是否与实际映射对应。
产品限制	该产品是否支持需要的用途和端口。配置安全组不能解除产品本身的限制。

仍无法定位时，向宝乐云客服提供产品信息、目标端口、协议、测试时间、错误提示和脱敏后的规则截图。不要在截图中附带服务器密码，也不要把关闭整个防火墙或开放全部端口作为默认处理方法。

相关文档：安全组、系统防火墙与端口放行、常用端口放行与风险说明、Windows 防火墙放行指定端口。