更新时间：2026-09-08 GMT+08:00
安全组概述
安全组
安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的节点提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当节点加入该安全组后，即受到这些访问规则的保护。
您在创建节点时，必须将节点加入一个安全组，如果此前您还未创建任何安全组，那么系统会自动为您创建默认安全组（default）并关联至该节点。除了默认安全组，您还可以根据业务需求创建自定义安全组并关联至节点。一个节点可以关联多个安全组，多个安全组按照优先级顺序依次匹配流量。
安全组中包括入方向规则和出方向规则，您可以针对每条入方向规则指定来源、端口和协议，针对出方向规则指定目的地、端口和协议，用来控制安全组内节点入方向和出方向的网络流量。以图1为例，在区域A内，某客户有一个虚拟私有云VPC-A和子网Subnet-A，在子网Subnet-A中创建一个节点node-A，并为节点node-A关联一个安全组Sg-A来保护节点node-A的网络安全。
- 安全组Sg-A的入方向存在一条放通ICMP端口的自定义规则，因此可以通过个人PC (计算机)ping通节点node-A。但是安全组内未包含允许SSH流量进入节点的规则，因此您无法通过个人PC远程登录节点node-A。
- 当节点node-A需要通过EIP访问公网时，由于安全组Sg-A的出方向规则允许所有流量从节点流出，因此节点node-A可以访问公网。
更多关于安全组的信息，请参见安全组文档。
安全组规则
安全组中包括入方向规则和出方向规则，用来控制安全组内节点的入方向和出方向的网络流量。
- 入方向规则：控制外部请求访问安全组内的节点，即流量流入节点。
- 出方向规则：控制安全组内节点访问外部的请求，即流量从节点流出。
安全组规则由协议端口、源地址/目的地址等组成，关键信息说明如表1所示：
| 关键参数 | 描述 |
|---|---|
| 优先级 | 优先级可选范围为1-100，数字越小，规则优先级级别越高。安全组规则匹配流量时，首先按照优先级进行排序，其次按照策略排序，拒绝策略高于允许策略。 |
| 策略 | 支持允许或拒绝。当流量的协议、端口、源地址/目的地址成功匹配某个安全组规则后，会对流量执行规则对应的策略，允许或拒绝流量。 |
| 类型 | 支持设置IPv4和IPv6协议的规则。 |
| 协议端口 | 包括网络协议类型和端口范围。
|
| 源地址或目的地址 | 在入方向中，匹配流量的源地址。在出方向中，匹配流量的目的地址。 您可以使用IP地址、安全组、IP地址组作为源地址或者目的地址。
|
入方向规则的源地址设置为0.0.0.0/0或::/0，表示允许或拒绝所有外部IP地址访问您的节点，如果将“22、3389、8848”等高危端口暴露到公网，可能导致网络入侵，造成业务中断、数据泄露或数据勒索等严重后果。建议您将安全组规则设置为仅允许已知的IP地址访问。
安全组的使用限制
- 为了确保良好的网络性能体验，建议一个节点最多关联5个安全组。
- 在一个安全组中，对于入方向规则来说，源地址是安全组的规则数量+源地址是IP地址组的规则数量+端口是不连续端口号的规则数量 ≤ 120条，否则超过数量的安全组规则将不生效。当同时存在IPv4和IPv6类型的安全组规则时，两种类型的安全组规则单独计算，即IPv4规则和IPv6规则可以各有120条。
以安全组Sg-A的入方向IPv4规则为例，表2中提供了部分符合限制条件的规则供您参考。其中，当一条安全组规则同时符合多个限制时，比如规则A02即使用了不连续端口，又使用了安全组作为源地址，此时只占用一条配额。
父主题： 管理安全组
