安全组与系统防火墙是什么关系

小区大门有门禁，住户楼里还有单元门锁，安全组和系统防火墙就是云服务器上的两道关卡：一个设在云平台网络层，一个装在操作系统里。 ## 安全组：平台侧的虚拟防火墙 安全组由云平台在虚拟化网络层实现，表现为一组有状态的包过滤规则，作用在实例网卡上。它有几个特点：不占用系统资源，重装系统也依然生效；规则基于协议、端口、来源地址三个要素；默认拒绝还是默认放行取决于创建时的策略。在顺云控制台上调整安全组，规则即时生效，不需要重启服务器。 安全组分出入方向，一块网卡可以关联多个安全组，规则合并评估；系统防火墙则是链式匹配，两套逻辑相似但细节不同，迁移规则时逐条核对，别想当然照搬。 ## 系统防火墙：操作系统内的过滤规则 firewalld（CentOS 系）、ufw（Ubuntu 系）都是 Linux 内核 netfilter 包过滤框架的前端管理工具，规则跟着系统走。它能做安全组做不到的细粒度控制，比如按网卡、按运行用户匹配，也能配合动态封禁工具自动拉黑攻击来源。系统防火墙的规则会被重装系统清空，迁移机器时需要重新配置。 ## 叠加生效，串联判断 两层之间是"与"的关系：流量必须同时穿过安全组和系统防火墙，任何一层拒绝就到不了服务。它们不是二选一，而是互补——安全组适合放稳定的基础规则，比如只对办公网开放 SSH；系统防火墙适合放经常变化的临时规则，避免频繁改动云侧配置。 顺序上还有个小建议：临时调试先动系统防火墙，验证通了再把规则固化到安全组，避免排查期间反复登录云控制台。 ## 排查顺序建议 推荐从里向外查：先用 ss -lntp 确认服务在监听，再看 firewalld 或 ufw 的规则，到了这一层还不通才核对安全组。反过来从外向内也行，但服务没监听这个最常见的原因放在末位查，容易绕远路。 两层各管一段、规则两边保持一致，是省掉大半排查时间的做法。规则条数两边都留档，变更时同步更新，出了故障按文档对表即可。