VPS 安全组没开？别慌，教你一招搞定配置！

最近入手了一台新 VPS，结果兴致勃勃地准备部署项目，发现 IP 根本 ping 不通，SSH 连接也会偶尔抽风。查了一圈才发现，原来是“安全组”这个拦路虎在作祟。

很多新手朋友可能会问：VPS 默认不开启安全组吗？还得自己手动配？

答案是肯定的，而且这其实是商家为了大家的“钱包”安全负责。今天就来细说这里面的门道，顺便分享一波安全组配置的干货。

如果你用过阿里云、腾讯云或者 AWS，你会发现他们的安全组默认也是“拒绝一切”或者只开放极少数端口（如 22 端口 SSH）。很多像 Vmiss 这样的 CN2 GIA、优质线路商家也沿用了这个逻辑。

原因很简单：安全。

试想一下，如果商家为了省事，把所有 1-65535 端口全部默认放行，你的服务器一上线就会暴露在公网的汪洋大海中。黑客扫一眼就能看到你的 MySQL 端口、Redis 端口甚至后台管理端口。要是你恰好用的是弱密码或默认配置，分分钟就被“肉鸡”了，甚至被勒索病毒锁定。

所以，手动配置安全组不是商家麻烦，而是给了你一把防盗门钥匙。

在开始操作前，得先厘清两个概念，很多小白容易混淆：

安全组（Security Group）： 这是 云服务商平台层面 的防火墙。它比系统防火墙更靠外，数据包还没进你的操作系统就被它拦截了。如果这关没过，系统里的 iptables 或 ufw 规则再怎么设也是摆设。
系统防火墙（如 iptables, ufw, firewalld）： 这是 操作系统层面 的防火墙。只有过了安全组的数据包，才会到这里进行二次检查。

结论： 一般 VPS 商家控制台里的“防火墙”或“安全组”是第一道关，必须先搞定这个。

不同商家的控制台界面不一样，但逻辑大同小异。以通用流程为例，教你三步搞定常用配置。

这是最关键的一步。我们需要放行哪些端口？原则是：用到什么开什么，用不到的坚决不开。

安全组入站规则配置界面

添加安全组入站规则示例

以下是几个必备的常用端口配置建议：

SSH（22 端口）： 必须开放，否则你连不上服务器。
- 进阶技巧： 为了安全，建议不要对所有人开放 0.0.0.0/0，而是限制为你当前的出口 IP（如果 IP 固定的话）。或者至少把默认的 root 登录禁用，改用密钥登录。
Web 服务（80 / 443）： 如果你要跑网站、博客或建站，这两个必须开。
- 80 用于 HTTP，443 用于 HTTPS。
自定义端口：
- 如果你搭建了 宝塔面板，记得开 8888。
- 如果你用了 Docker 部署了各种脚本或 ** aria2** 等下载工具，记得映射对应的端口。

操作示范： 这里的来源 IP 通常选择 0.0.0.0/0 代表允许所有 IP 访问（仅对 Web 服务），协议选择 TCP。

出站规则通常默认是“允许所有”，这样你的服务器才能访问外网（比如 yum install 安装软件、更新系统时间等）。如果发现 ping 不通外网，记得检查这里是不是被误关了。

回到最初的问题，针对 Vmiss 这类主打性价比、线路好的商家，有时他们的控制台可能比较简洁（简陋），没有图形化的安全组界面，或者默认只放了 ICMP（Ping 协议）。

遇到这种情况：

耐心翻找控制台： 确认是不是在某个不起眼的“设置”菜单里。
发工单/Ticket： 如果实在找不到，直接找客服。问一句：“Hi, could you please help me open port 80 and 443 in the firewall? I can't find the security group setting.” 通常他们响应很快，甚至会直接后台帮你开通。
检查系统内防火墙： 既然商家层面的端口开了，如果还不通，登录 SSH 输入 systemctl status firewalld 或 ufw status，看看是不是系统自带的防火墙把路堵死了。

VPS 就像你的新房子，安全组就是小区的大门。默认不开门是为了防小偷，但我们住进去肯定得配一把钥匙。别嫌麻烦，花 3 分钟把该开的端口配置好，不仅能避免后续 80% 的连接问题，还能让你的服务器稳如老狗。

下次再遇到新机 ping 不通，先去控制台看一眼防火墙策略，大概率就是它没开门！