阿里云搭建的应用怎么对外开放端口和访问

在阿里云ECS实例上对外开放端口前，需要完成两项关键配置：安全组规则和系统防火墙。安全组作为云平台的虚拟防火墙，控制着实例的入站和出站流量；而系统防火墙（如CentOS的firewalld或Ubuntu的ufw）则是操作系统层面的防护机制。二者需协同配置，缺一不可。

配置安全组规则详解

通过阿里云控制台配置安全组时，需重点关注入方向规则：

• 授权策略：选择”允许”以放行流量
• 协议类型：根据业务需求选择TCP/UDP/ICMP等
• 端口范围：单端口（如80）或范围（8000/8010）
• 授权对象：0.0.0.0/0表示对所有IP开放

操作系统防火墙配置实战

以CentOS 7的firewalld为例，开放端口的完整操作流程：

# 永久开放80端口
firewall-cmd –permanent –add-port=80/tcp
# 永久开放端口范围
firewall-cmd –permanent –add-port=8000-8010/tcp
# 重载配置生效
firewall-cmd –reload
# 验证端口开放状态
firewall-cmd –list-ports

Ubuntu系统UFW防火墙配置

对于Ubuntu系统，使用ufw命令可快速管理端口：

• 启用UFW：ufw enable
• 开放SSH端口：ufw allow 22/tcp
• 开放HTTP/HTTPS：ufw allow 80,443/tcp
• 查看规则状态：ufw status numbered

端口连通性检测方法

完成配置后，需通过以下方式验证端口连通性：

Web服务部署与访问测试

以部署Nginx Web服务为例，在完成80端口开放后，可通过公网IP直接访问。若需绑定域名，还需在域名解析设置中将A记录指向ECS公网IP。常见的服务端口对应关系：

• Web服务：80(HTTP)/443(HTTPS)
• 数据库：3306(MySQL)/5432(PostgreSQL)
• 远程连接：22(SSH)/3389(RDP)
• 自定义应用：8000-9000区间

安全注意事项与最佳实践

端口开放需遵循最小权限原则：

1. 非必要不开放公网访问，内网服务使用安全组内网规则
2. 生产环境避免使用常见默认端口，减少扫描攻击风险
3. 定期审计安全组规则，及时清理不再使用的规则
4. 对关键服务配置IP白名单，限制访问来源
5. 结合云监控设置流量异常告警