开放端口前，先按这份非洲云主机防火墙端口配置检查清单逐项核对：端口对应什么服务、谁可以访问、规则作用于哪个网络方向，以及改完后如何验证。云平台安全组、主机防火墙和上游网络策略可能同时生效；只改其中一处，不一定能让连接成功。
先确认要开放的确实是服务端口
确定端口前，在主机上确认应用已启动并监听目标地址。服务只绑定本机回环地址时，即使云端规则放行，外部连接仍无法到达。还要区分 TCP 与 UDP：网页 HTTPS 通常使用 TCP 443；DNS 查询可能涉及 UDP 53，也可能因响应大小或传输需求使用 TCP 53。具体以实际部署为准，不要仅凭端口号推断用途。
开放前核对这6项规则
1. 端口与协议和服务一致
把应用配置、监听状态与规则中的协议、端口逐一对照。优先开放单个必要端口，不要为了省事填写宽泛端口段；只有服务明确要求连续端口范围时，才按文档配置起止端口。避免同一服务在不同层使用了不一致的协议。
2. 来源地址收窄到实际访问者
入站规则的来源尽量填写办公出口、合作方出口或指定探测节点的 CIDR 网段，而非对所有 IPv4 地址开放。家庭宽带和移动网络出口可能变化，应先确认使用者的固定出口或采用受控接入方式。确需公网访问的服务，也应评估认证、限速和应用层防护。
3. 分清入站与出站方向
对外提供服务通常需要入站放行；应用访问外部 API、软件仓库或时间服务，则可能需要出站规则。出站默认策略因云平台和主机配置而异，不能假定一定放行。按目标地址、协议和端口逐项增加权限，并确认返回流量是否由平台状态跟踪机制处理。
4. 检查 IPv4 与 IPv6 是否分别受控
若网卡或 DNS 记录提供 IPv6 地址，检查安全组和主机防火墙是否也有对应的 IPv6 规则。只限制 IPv4 来源，不代表 IPv6 入口同样受限。没有提供 IPv6 服务时，确认应用没有意外监听公网 IPv6 地址；需要双栈访问时，则分别测试两种地址族。
5. 核对规则优先级与叠加策略
查看安全组、网络访问控制列表和主机防火墙的生效顺序。某些策略按优先级匹配，较早的拒绝规则可能覆盖后续允许；不同产品的行为并不完全相同。逐层确认规则对象绑定到正确的网卡、实例或子网，并检查是否存在重复、过期或范围更宽的旧规则。
6. 验证生效范围并准备回退
记录修改前的策略，优先新增最小范围规则，再从允许的来源测试连接，并从不允许的来源确认访问被拒绝。分别观察云端策略与主机日志；若业务仍不可达，检查监听地址、路由、域名解析和客户端网络，而不是盲目扩大端口范围。确认无误后清理临时规则，并保留回退办法。
按顺序执行，避免一次改太多
- 记录服务名称、协议、端口、监听地址和预期访问来源。
- 在云平台控制台检查安全组及相关网络策略，再核对主机防火墙。
- 仅添加所需方向和 CIDR 的规则；若平台区分 IPv4、IPv6，分别配置。
- 从授权网络测试服务，再从非授权网络验证访问限制，并查看日志。
- 删除临时放宽项，记录规则用途、负责人和复查时间。
对于网页服务，TCP 443 是常见配置，但是否还需开放其他端口，应由应用依赖决定。部署位置在非洲并不会改变端口协议本身；实际可达性还会受到云平台策略、路由和访问方网络条件影响。因此，非洲云主机防火墙端口配置检查清单的重点是把规则与真实访问路径对应起来，而非照搬一套端口表。
常见问题
只在云安全组放行，为什么仍然连不上？
主机防火墙可能仍在拦截，应用也可能没有监听公网网卡。应从云端规则、主机规则、监听状态和路由逐层排查。
可以直接对所有来源开放服务端口吗？
仅在服务确实需要公网访问且已有适当防护时考虑。管理或内部服务应优先限制来源网段，避免无必要的公网暴露。
修改后多久复查一次？
没有适用于所有业务的固定周期。临时规则应在用途结束后尽快删除；长期规则可结合变更流程定期核对使用对象和来源范围。
按六项规则完成检查，并从允许与拒绝两侧验证，才能让非洲云主机防火墙端口配置检查清单真正用于控制风险，而不只是记录端口号。
