安全组规则的迁移

安全组是迁移里最容易被"凭记忆重建"的一环，结果往往是上线之后才发现某条入方向规则没配，监控数据传不上来。把旧机器的实际规则导出来对照着迁，能少走弯路。 一、准备：导出旧规则做对照 先在老机器上摸清实际放行的端口。iptables 环境执行： ``` iptables -L INPUT -n --line-numbers ``` firewalld 环境执行 `firewall-cmd --list-all`。把结果整理成一张表：端口、协议、来源网段、用途。再对照云控制台里的安全组列表，逐条标注迁还是不迁，这张表就是后续验收的依据。 二、迁移：先宽后严 新平台的安全组分两步配。第一步按对照表逐条补齐，来源网段拿不准的条目先放宽到 0.0.0.0/0，保证业务先通；第二步在观察期里根据访问日志收紧，比如确认办公网出口固定后，把 SSH 的 22 端口从全网段改成只放行办公网段。放宽只针对入方向的业务端口，管理类端口从第一天就按严格来源配，别把 SSH 也跟着放宽了。安全组的入方向和出方向是分开配的，调整即时生效，不需要重启实例。 三、验证：逐端口确认 在另一台机器上远程探测最直观： ``` nc -zv 新服务器IP 443 curl -I http://新服务器IP ``` 业务端口逐个试一遍，同时确认该关的端口确实不通，比如 3306 这类数据库端口对外应该是拒绝状态。探测选在低峰期做，探测动作也会被记进日志，和真实访问区分开。探测结果回填到对照表里，保持文档和线上一致。 四、常见报错与处理 迁完最常见两类问题：监控或日志采集器连不上，多半是采集端口没放行，对照旧机器的出方向规则就能找到；SSH 忽然连不上，先检查安全组里 22 端口的来源网段，再用控制台的远程登录通道兜底进去改。两条路都堵死时提交工单处理。 安全组迁移不难，难在"逐条对照"四个字有没有落实。先宽后严只是过渡手段，观察期结束前把规则收紧到位，这一项才算迁完。