阿里云ECS安全组与远程连接设置完全指南

一、引言：云服务器安全的守门人

云计算时代，云服务器ECS已经成为企业IT基础设施的核心组件。但把服务器暴露在公网上，就像把家门钥匙挂在门外——未经授权的访问尝试、恶意扫描、暴力破解密码，这些威胁每天都在上演。如何在享受云计算的弹性与便利的同时，确保服务器的访问安全？答案就藏在两个关键的配置环节里：安全组与远程连接。

安全组是云上的虚拟防火墙，控制哪些流量能进出你的ECS实例；远程连接则是你与服务器对话的通道，决定你如何安全地登录和管理。这两者配合紧密——安全组决定了谁可以敲门，远程连接方式决定了你用什么钥匙进门。这篇文章将从零开始，系统梳理阿里云ECS安全组与远程连接的完整配置方法，涵盖概念原理、操作步骤、最佳实践和常见问题，帮你构建一套安全、高效的云服务器管理体系。

二、安全组：云上虚拟防火墙

2.1 什么是安全组

安全组是阿里云提供的一种虚拟防火墙功能，用来控制ECS实例的入方向和出方向流量。你可以把具有相同安全需求且相互信任的ECS实例放进同一个安全组，从而划分出清晰的安全域。安全组在ECS使用中扮演着云上虚拟防火墙的角色，通过管理安全组和规则，可以提供精细化的网络安全隔离与访问控制。

每个ECS实例创建时都至少关联一个安全组，也可以关联多个。安全组的规则变动会自动应用到该组中的所有ECS实例。安全组规则由几个核心要素组成：授权对象、目的端口、协议类型、授权策略（允许或拒绝）和优先级。

2.2 安全组的分类

阿里云安全组根据特性不同，分为普通安全组和企业级安全组两种类型，两者都是免费的。

：支持组内互通功能，支持添加授权安全组访问的规则。默认允许所有出方向访问，入方向默认拒绝所有。同一普通安全组内的ECS实例默认内网互通。

：可以容纳更多的私网IP地址数量，但不支持组内互通功能，也不支持添加授权安全组访问的规则。默认拒绝所有入方向和出方向访问。企业级安全组适用于对整体规模和运维效率有较高需求的企业级用户。

根据操作权限归属，安全组还分为自定义安全组和托管安全组。自定义安全组由阿里云账号直接在ECS控制台上创建，你拥有完全的操作权限。托管安全组则由云产品为你创建和管理。

2.3 安全组的网络类型适配

阿里云的网络类型分为经典网络和专有网络VPC。在专有网络VPC下，安全组只能在所属的VPC内使用。创建ECS实例时，指定的虚拟交换机和安全组必须属于同一个VPC。一台专有网络VPC类型的ECS实例只能加入本VPC的安全组。

对于专有网络VPC，安全组规则同时控制公网和内网访问。配置入方向规则时，安全组会自动放行对应的出方向响应流量——这就是安全组的“有状态”特性。

三、安全组规则配置详解

3.1 安全组规则的构成

安全组规则是用户自定义的访问控制规则，用于控制安全组内ECS实例的出入站流量。每条规则由以下属性定义：

• 授权策略（Policy）：Accept（允许）或Drop（拒绝）
• 优先级（Priority）：范围为1~100，数字越小优先级越高，默认值为1
• 协议类型（IpProtocol）：tcp、udp、icmp、gre或all
• 端口范围（PortRange）：格式为“起始端口/终止端口”，如“80/80”表示单个端口
• 授权对象：源IP地址段（CIDR格式）或源安全组ID

3.2 入方向规则与出方向规则

入方向规则控制外部流量进入ECS实例。由于安全组是有状态的，只需配置入方向规则，系统会自动放行对应的出方向响应流量。这意味着，当你允许某个IP通过SSH（22端口）访问实例时，该实例返回的SSH响应数据包会自动被允许流出，无需单独配置出方向规则。

出方向规则控制ECS实例向外发起访问的流量。普通安全组默认允许所有出方向访问；企业级安全组默认拒绝所有出方向访问。如果你需要限制实例访问特定的公网IP或网段，可以配置出方向拒绝规则。

3.3 规则的优先级与匹配顺序

当一个ECS实例关联多个安全组时，所有安全组的规则会合并，按照优先级排序后共同决定是否放行流量。安全组规则的优先级范围为1~100，数字越小优先级越高。规则匹配时，按照优先级从高到低依次判断，一旦匹配到一条规则（无论是允许还是拒绝），就不再继续匹配后续规则。

需要注意的是，普通安全组组内互通的规则是系统自动添加的隐藏规则，优先级最高，不受自定义规则影响。企业级安全组默认组内隔离，需要通过显式规则来放通内部通信。

3.4 创建安全组

你可以在购买ECS实例时一并创建安全组，也可以独立于实例创建安全组，再关联到已有实例。

1. 登录阿里云ECS管理控制台
2. 在左侧导航栏中选择“网络与安全” > “安全组”
3. 选择需要创建安全组的地域
4. 单击“创建安全组”
5. 设置安全组名称及专有网络VPC
6. 选择安全组类型为普通安全组或企业级安全组
7. 配置安全组规则后单击确定创建

通过API创建安全组，可以调用CreateSecurityGroup接口。

3.5 添加安全组规则

1. 登录ECS控制台，进入“网络与安全” > “安全组”
2. 找到目标安全组，单击“管理规则”
3. 选择“入方向”或“出方向”标签页
4. 单击“添加安全组规则”
5. 配置授权策略、协议类型、端口范围、授权对象、优先级等参数
6. 单击保存使规则生效

acs ecs AddSecurityGroupRule
--SecurityGroupId sg-xxxxxx
--IpProtocol tcp
--PortRange 22/22
--SourceCidrIp 203.0.113.0/24
--Policy accept

上述命令中的参数说明：

• SecurityGroupId：目标安全组的ID
• IpProtocol：协议类型（tcp/udp/icmp等）
• PortRange：端口范围，格式为“起始端口/终止端口”
• SourceCidrIp：源IP地址段，使用CIDR格式
• Policy：授权策略（accept允许/drop拒绝）

3.6 常用端口配置示例

下表列出了常见场景下需要开放的端口及授权建议：

端口协议用途授权对象建议22TCPSSH远程连接（Linux）办公网或固定公网IP，不建议使用0.0.0.0/03389TCPRDP远程桌面（Windows）办公网或固定公网IP，不建议使用0.0.0.0/080TCPHTTP网站服务0.0.0.0/0（公网访问）443TCPHTTPS网站服务0.0.0.0/0（公网访问）3306TCPMySQL数据库仅允许应用服务器IP或安全组5432TCPPostgreSQL数据库仅允许应用服务器IP或安全组","rows":7,"cols":4,"id":"rzgEY"}">

对于Web服务，通常需要开放80（HTTP）和443（HTTPS）端口。对于远程管理，Linux实例开放22端口（SSH），Windows实例开放3389端口（RDP）。数据库服务如MySQL（3306）、PostgreSQL（5432）等，建议仅允许应用服务器所在的IP段或安全组访问，不应直接暴露到公网。

四、安全组最佳实践

4.1 最小权限原则

安全组配置的核心原则是最小权限原则——只开放业务必需的端口，并尽量限制源IP地址范围。安全组应该作为白名单使用，默认拒绝所有访问，仅添加允许规则放通必要端口和授权对象。

具体实践建议：

• 禁止使用0.0.0.0/0全开放（这是高危操作）
• SSH端口建议修改默认22为自定义端口，降低被扫描的风险
• 只开放必要端口（如Web服务开80/443，SSH开22）
• 结合标签管理实现环境隔离（生产/测试/开发）
• 定期审计安全组规则，删除过期规则

4.2 不同应用使用不同安全组

不同应用通常需要开放不同的端口，建议它们分属不同的安全组，避免规则互相影响。对于分布式应用，应该对Web层、Service层、Database层、Cache层使用不同的安全组，暴露不同的出入规则和权限。

例如，可以分别为以下场景创建独立的安全组：

• Web层安全组：开放80/443端口供公网访问
• 应用层安全组：开放特定服务端口，只允许Web层安全组访问
• 数据库层安全组：开放3306/5432等数据库端口，只允许应用层安全组访问

通过安全组间的相互授权实现分层访问控制。

4.3 避免0.0.0.0/0的陷阱

授权对象为0.0.0.0/0表示允许所有IP访问，风险极高。允许全部入网访问是经常犯的错误，这意味着所有的端口都对外暴露了访问权限。

正确的做法是：先拒绝所有的端口对外开放，安全组应该是白名单访问。如果确实需要公网访问（比如Web服务的80/443端口），也应当只开放必要的端口，其他端口保持关闭。

4.4 内网互通的正确姿势

即使是同一个账户下的ECS实例，如果分属不同安全组，内网网络也是隔离的。如果想让不同安全组的实例内网互通，应该使用安全组授权方式——在目标安全组的入方向规则中，授权源安全组ID（而不是IP地址）。

举个例子，允许安全组A访问安全组B的3306端口：在安全组B的入方向规则中，授权对象填写安全组A的ID，端口填写3306。这种方式比CIDR网段授权更安全、更易维护。

对于普通安全组，同一安全组内的实例默认内网互通。企业级安全组默认组内隔离，如需内部通信需要显式配置规则。

4.5 安全组规则的管理与审计

建议每个月执行一次安全组规则扫描，使用阿里云安全组检查工具进行合规审计。在修改线上安全组规则之前，最好先克隆一个安全组，在克隆的安全组上进行调试，避免直接影响线上应用。

尽可能保持单个安全组的规则简洁。一台ECS实例最多可以加入5个安全组，一个安全组最多包括200条规则，因此单台实例可能同时应用数百条安全组规则。规则越多，管理复杂度越高，也越容易产生配置错误。

五、远程连接ECS实例

配置好安全组之后，接下来就要通过远程连接来登录和管理ECS实例了。阿里云提供了多种远程连接方式，适用于不同的使用场景。

5.1 远程连接方式概览

阿里云ECS支持以下几种主要的远程连接方式：

• Workbench：阿里云提供的Web远程连接工具，无需安装，直接在浏览器中使用
• SSH客户端：使用OpenSSH、Xshell、MobaXterm等第三方工具连接Linux实例
• VNC管理终端：可以直接查看实例操作系统的实时界面，不受安全组限制
• 阿里云客户端：阿里云官方桌面客户端，支持多种连接方式
• 会话管理：通过安全通道连接无公网IP的实例

5.2 准备工作：安全组放行

无论使用哪种远程连接方式，首先需要确保安全组已放行相应的端口：

• Linux实例：放行SSH端口（默认22）
• Windows实例：放行RDP端口（默认3389）
• Workbench连接：系统会自动检测并提示添加安全组规则

建议将SSH的默认端口22修改为其他端口（如2222），并将授权对象限制为办公网IP或固定IP段，避免使用0.0.0.0/0。

5.3 方式一：Workbench远程连接

Workbench是阿里云提供的一款Web远程连接工具，无需安装任何软件，直接在浏览器中使用。它支持通过SSH协议连接Linux实例，也支持通过RDP协议连接Windows实例。

Workbench的特点：

• 支持多种连接方式（SSH/RDP）
• 支持通过公网IP或私网IP连接实例
• 支持免密登录
• 支持文件管理（上传下载文件）
• 支持多屏终端（同时连接多台实例）
• 支持AI Agent模式（自然语言指令运维）

1. 登录ECS控制台，进入“实例”页面
2. 在页面顶部选择资源组和地域
3. 找到目标实例，单击“远程连接”
4. 在对话框中，单击“通过Workbench远程连接”对应的“立即登录”
5. 选择连接方式：免密连接（推荐）或终端连接（SSH）
6. 输入用户名（Linux默认为root）
7. 选择认证方式：免密、密码或SSH密钥
8. 单击登录

Workbench的远程连接会话最长维持6个小时，如果超过6小时没有任何操作，连接会自动断开。

5.4 方式二：SSH客户端连接

对于习惯使用命令行的开发者，用SSH客户端连接是最高效的方式。OpenSSH是macOS和Windows 10/11系统内置的标准SSH客户端。

• 获取实例公网IP地址（在ECS控制台实例详情页的配置信息区域查看）
• 设置实例登录凭证（密码或密钥对）
• 配置安全组入方向规则，允许本地IP通过SSH端口（默认22）访问实例

ssh root@47.98.xxx.xxx

首次连接时会提示验证主机密钥指纹，这是SSH的安全机制：

The authenticity of host '47.98.xxx.xxx (47.98.xxx.xxx)' can't be established.
ED25519 key fingerprint is SHA256:AbCdEf123456...
Are you sure you want to continue connecting (yes/no/[fingerprint])?

确认指纹无误后输入yes，然后输入实例密码即可登录。

ssh -i /path/to/private_key.pem root@47.98.xxx.xxx

其中/path/to/private_key.pem为私钥文件路径。使用密钥对登录比密码登录更安全，推荐使用。

• 在ECS控制台创建密钥对，私钥会自动下载保存为.pem格式的文件
• 将密钥对绑定到ECS实例，公钥信息会保存在~/.ssh/authorized_keys文件中
• 私钥文件应设置400权限
• 如果私钥文件丢失将无法找回，需要解绑后重新绑定新的密钥对

5.5 方式三：VNC管理终端

VNC（Virtual Network Computing）管理终端可以直接查看实例中操作系统的实时界面。VNC不受安全组设置或实例中运行软件的限制，可以作为排查其他连接方式异常的重要手段。

重要变更：自2023年7月10日起，远程连接工具VNC无需单独设置VNC登录密码，仅需通过实例的登录名和密码即可安全访问ECS实例。阿里云对VNC完成了安全升级，自动托管用户鉴权和端到端加密数据。

1. 访问ECS控制台-实例页面
2. 选择目标资源所在的资源组和地域
3. 单击目标实例ID，进入实例详情页
4. 单击“远程连接”，选择“通过VNC远程连接”中的“立即登录”
5. 对于Linux实例：输入登录用户（如root）后按Enter，输入实例登录密码后按Enter
6. 对于Windows实例：在页面左上角解除系统锁屏，选择用户账户（默认为Administrator），输入密码后按Enter

• VNC连接会因闲置时间超过300秒而自动断开，需要重新连接
• 支持复制粘贴命令（最大2000个字符，暂不支持中文等特殊字符）
• 支持发送远程命令（模拟特定快捷键操作）

5.6 方式四：会话管理（无公网IP实例）

对于没有分配公网IP的ECS实例，可以通过会话管理（Session Manager）进行安全连接。会话管理通过安全通道访问实例，无需开放公网端口，安全性更高。

使用会话管理的前提是实例已安装云助手Agent，且已开启会话管理功能。在阿里云客户端中，找到目标实例后选择“启动远程会话”即可连接。

六、安全组与远程连接的联合实践

6.1 场景一：搭建安全的Web服务器

假设你需要在一台Linux ECS实例上部署Nginx Web服务，并确保只有你自己能远程管理服务器。安全组配置如下：

• 入方向规则1：允许0.0.0.0/0访问TCP 80端口（HTTP）
• 入方向规则2：允许0.0.0.0/0访问TCP 443端口（HTTPS）
• 入方向规则3：允许你的办公网IP访问TCP 2222端口（SSH，已修改默认端口）
• 出方向规则：保持默认允许所有

远程连接时，使用以下命令：

ssh -p 2222 root@你的实例公网IP

6.2 场景二：数据库服务器的安全隔离

假设你有一台MySQL数据库服务器，只允许应用服务器访问，不对外暴露公网。安全组配置如下：

• 创建安全组A（数据库安全组）：入方向规则允许应用服务器所在安全组B访问TCP 3306端口
• 创建安全组B（应用安全组）：入方向规则允许公网访问Web端口（80/443）
• 数据库实例加入安全组A，应用实例加入安全组B
• 数据库实例不分配公网IP

这种配置下，数据库只能被应用服务器访问，公网无法直接连接数据库，最大程度保障了数据安全。

6.3 场景三：通过CLI批量管理安全组

对于需要批量管理安全组的场景，可以使用阿里云CLI或SDK。以下是通过Python SDK添加安全组规则的示例：

from aliyunsdkcore.client import AcsClient

from aliyunsdkecs.request.v20140526 import AuthorizeSecurityGroupRequest

client = AcsClient('your-access-key-id', 'your-access-key-secret', 'cn-hangzhou')

request = AuthorizeSecurityGroupRequest.AuthorizeSecurityGroupRequest()

request.set_SecurityGroupId('sg-xxxxxx')

request.set_IpProtocol('tcp')

request.set_PortRange('22/22')

request.set_SourceCidrIp('203.0.113.0/24')

request.set_Policy('accept')

request.set_Priority(1)

response = client.do_action_with_exception(request)

print(response)

通过SDK可以实现安全组规则的自动化管理，特别适合需要频繁调整规则的场景。

七、常见问题与排查

7.1 配置规则后仍无法访问

：在安全组中添加了规则后，仍然无法通过SSH或HTTP访问ECS实例。

• 检查实例关联：确认ECS实例已加入正确的安全组（路径：ECS控制台 > 实例详情 > 安全组列表）
• 验证服务状态：确保实例内应用程序已启动并监听正确端口（使用netstat -ano命令检查）
• 排查规则冲突：当实例关联多个安全组时，优先级较低的规则可能被覆盖。使用安全组规则检测工具分析最终生效规则

7.2 内网无法互通

：同一账号下不同安全组的实例无法内网通信。

• 使用安全组授权：在目标实例的安全组入方向规则中，授权源实例所属安全组ID（而非IP地址）
• 检查网络架构：确保实例处于同一VPC内。跨VPC场景需使用云企业网或对等连接

7.3 SSH连接失败

：通过SSH无法连接到Linux实例。

• 检查安全组是否放行SSH端口（默认22）
• 确认实例已绑定公网IP
• 确认用户名和密码/密钥正确
• 检查实例内防火墙（如iptables）是否阻止了SSH连接
• 尝试使用VNC登录实例，检查SSH服务是否正常运行

八、总结

阿里云ECS的安全组与远程连接设置是云服务器安全管理的基石。安全组作为云上虚拟防火墙，通过精细化的规则控制着进出ECS实例的所有流量；而远程连接则是管理员与服务器交互的通道。两者需要协同配合——安全组控制谁可以访问，远程连接方式决定如何安全地登录。

• 安全组应遵循最小权限原则，只开放必要端口，限制授权对象范围
• 避免使用0.0.0.0/0全开放，高危端口（如22、3389）建议修改默认端口并限制IP
• 不同应用使用不同安全组，实现分层隔离
• Workbench是最便捷的远程连接方式，无需安装任何软件
• SSH密钥对比密码登录更安全，推荐在Linux实例上使用
• VNC不受安全组限制，是排查连接问题的利器
• 定期审计安全组规则，删除过期规则，保持配置整洁

掌握了安全组与远程连接的配置方法，你就能构建一个既安全又高效的云服务器管理体系，让ECS实例在提供稳定服务的同时，远离安全威胁。

九、简单问答

答：安全组规则添加后立即生效，无需重启ECS实例。

答：需要两步操作：先在安全组中放行新端口（如2222），然后登录实例修改/etc/ssh/sshd_config文件中的Port配置，重启SSH服务后生效。

答：Workbench是阿里云提供的Web工具，无需安装、支持免密登录和文件管理；SSH客户端是标准协议工具，适合习惯命令行的开发者。Workbench更便捷，SSH客户端更灵活。

答：可以在ECS控制台的实例详情页，选择“全部操作”中的“重置实例登录密码”，根据界面提示完成重置。

答：可以。一台ECS实例最多可加入5个安全组。多个安全组的规则会合并后按优先级生效。

答：单个安全组规则上限为200条，单实例关联多安全组时规则总数上限为1000条。建议定期清理未使用的规则。