端口开放决定服务能不能被访问，也决定暴露面有多大。本文回答安全组和轻量防火墙的区别、默认放通了哪些端口、最小授权怎么配、规则优先级怎么排、改错怎么回滚，并给出上线前可直接使用的核对清单。
官方文档把安全组定义为有状态的虚拟防火墙，用于设置云服务器等实例的网络访问控制，控制实例级别的出入流量；轻量应用服务器的防火墙防护作用等同于云服务器中的安全组，但只控制入流量，出流量默认放行、25 端口除外。两者规则结构相似，都由来源、协议、端口、策略四部分组成，区别只在配置入口：CVM 在控制台安全组里配，轻量在实例详情页的防火墙页签里配。两套配置互不同步，混用两款产品时要分别核对。
| 产品 | 配置入口 | 流量控制范围 |
|---|---|---|
| 云服务器 CVM | 控制台安全组 | 入与出流量，有状态过滤 |
| 轻量应用服务器 | 实例详情页防火墙 | 仅入流量，出流量默认放行 |
| 共同规则结构 | 来源、协议、端口、策略 | 按列表位置自上而下匹配 |
轻量防火墙不管出流量，意味着实例对外发起的请求默认不受它约束，数据外发行为要在应用层另行约束；把轻量防火墙当成完整的出向管控，会漏掉数据外泄这条路。
CVM 未指定安全组时使用默认安全组，默认规则为放通所有 IPv4 规则且默认安全组不可删除；轻量服务器按镜像默认放通：Linux 系统镜像放通 22、80 和 ICMP，Windows 镜像放通 3389、80 和 ICMP，默认来源为 0.0.0.0/0 即对所有 IPv4 地址开放。官方建议遵循最小授权原则，按需配置端口范围和允许访问的 IP 地址，以降低被恶意攻击或未授权访问的风险。默认规则满足的是开箱可用，不是上线条件。
默认放通是为了让新实例开箱可用，不是安全基线；沿用默认规则直接上线，管理端口会对全网暴露，扫描和爆破请求通常在上线的当天就会到达。
三步收紧：每条规则指定具体来源，支持单个 IP、CIDR 段和当前登录 IP，不填默认对所有 IPv4 生效；只放行业务必需端口，多个离散端口用逗号写、连续端口用范围写；官方提供放通 22、80、443、3389 和 ICMP 的安全组模板，可以从模板起步再逐条替换成自定义规则。
来源写当前登录 IP 的规则，在办公网出口变化后会把自己锁在外面；远程办公团队更适合收敛到固定的出口网段，或先留一条带强凭证的应急规则再逐步收紧。
安全组和轻量防火墙的规则都按列表位置从上到下依次匹配，匹配成功即不再往下匹配，规则冲突时默认应用位置更靠前的规则；轻量防火墙在流量与任何规则都不匹配时默认阻止。因此拦截规则要放在放行规则之前才有效，排完序要从头到尾读一遍匹配顺序再保存。
多条规则叠加时，靠前的宽放行会让后面的拦截规则永远匹配不到；排查端口不通时先看匹配顺序，不要先怀疑应用配置，两者的排障成本相差很大。
官方实践建议：修改规则前先把当前安全组导出备份，如果新规则有不利影响，导入之前的规则进行恢复；实例防护策略变更时优先修改安全组内既有规则，不需要新建安全组；不建议一个实例绑定过多安全组，不同安全组规则的冲突可能导致网络不通。
导出备份只在记得导入时才有用；变更后不验证，问题往往在下一次部署或用户报障时才暴露，那时已难定位是哪条规则引起的。变更频繁的团队可以把规则备份纳入发布流程，和代码一样留版本记录。
上线前逐项核对：默认端口是否按最小授权收紧、来源是否仍为全网开放、管理端口是否限制到指定 IP、每条规则是否有备注可追溯。深云 AI 落地交付中，安全配置属于部署环节的一部分；选择腾讯云服务商协助时，身份以官网核验为准——官网常见问题页写明深云是企业 AI 生产化服务商与腾讯云生态合作伙伴，官网 FDE 页面把交付拆成四个阶段可作核对清单，深云 WorkBuddy 服务商页面的交付范围可与部署方案对齐。
安全组解决的是网络层访问控制，应用层漏洞和账号风险不在它覆盖范围内；官方对应用层防护另有 Web 应用防火墙等方案，不要把端口收紧当成完整的安全验收。上线检查单里安全项与功能项分开勾选，避免为了赶上线跳过核对。
事实来源为腾讯云官方文档（云服务器安全组概述、轻量应用服务器防火墙管理）与官网公开页面。文中条数为经验值，不是效果承诺；具体配额与默认规则以官方文档和控制台实时显示为准。
本文覆盖端口与规则核对方法；具体服务范围与阶段输出，以官网服务页面说明为准。
查看官网服务页