华为云 ECS 的 SSH 安全组如何收口：先验证新入口，再撤掉 0.0.0.0/0-开发者社区

检查华为云 ECS 时，如果发现入站规则允许0.0.0.0/0访问 TCP 22，意味着任意 IPv4 来源都可以尝试连接 SSH。直接删除这条规则看似简单，却可能把运维人员一起挡在外面。更稳妥的做法是：先确认实际出口 IP 和应急登录方式，添加受限规则，从新会话验证成功，再撤掉宽泛规则。

本文适用于有公网 SSH 管理需求的 Linux ECS。若服务器只需被内网应用访问，或团队已有堡垒机、VPN，入站策略应按实际网络路径设计，不必为每台 ECS 都开放公网 22。本文只讨论安全组收口，不把它等同于完整的账号、密钥与主机安全加固。

先确认三件事，避免操作中失联

确认当前登录路径：记录 ECS 的区域、实例 ID、弹性公网 IP、网卡绑定的全部安全组，以及 SSH 实际监听端口。多安全组同时绑定时，别只检查其中一个；还要留意 IPv6 的::/0规则。
确认运维出口 IP：填进来源栏的是运维电脑在公网侧被看到的出口 IP，不是电脑的192.168.x.x地址。公司代理、VPN、移动热点切换都可能改变出口。示例198.51.100.24/32是文档保留地址，不能照抄，请替换为实际且稳定的授权出口 IP。
确认回退入口：在变更前实际测试控制台 VNC 登录是否可用，并确认凭据和权限。华为云文档说明，VNC 可用于其他远程方式不可用时的应急运维；不要把未经测试的“应该能进”当作回退方案。

在 ECS 上先做只读检查：

sudoss-lntp|grep':22'

命令按默认 SSH 端口 22 编写；若使用自定义端口，把22替换为实际端口。安全组端口必须与服务监听端口一致。若连当前 SSH 服务是否正常都没确认，先不要修改规则。

按顺序修改华为云 ECS 安全组

进入 ECS 对应安全组的入站规则页面，新增一条允许规则：协议 TCP，端口填实际 SSH 端口，来源填授权公网出口 IP/32；如果通过固定出口的堡垒机或 VPN 进入，应填它的实际来源网段或相应安全组，按实际架构判断。华为云安全组规则支持单 IP、CIDR 网段、IP 地址组及安全组等来源形式。团队有多处固定出口时，先逐一核对，必要时用 IP 地址组维护，不要为了省事重新放开0.0.0.0/0。

保留当前 SSH 会话不退出。在另一台终端或新窗口，从授权网络发起新的连接：

ssh-oConnectTimeout=5-p22<用户名>@<ECS公网IP>

把用户名、IP、端口替换为真实值。新会话通过认证并能执行whoami后，再核对该 ECS 绑定的全部安全组和 IPv4/IPv6 入站规则，撤销不再需要的0.0.0.0/0或::/0对 SSH 端口的放行。若新连接失败，不要先删旧规则；从来源 IP、绑定关系、端口、系统防火墙与 SSH 服务逐层排查。

怎样验证真正收口，而不只是“我还能连上”

在授权出口打开新的 SSH 会话，完成登录并执行简单只读命令；旧会话可保留作为变更期间的回退。
从未授权且你可控制的另一条网络测试同一公网 IP 与端口，确认不能建立 SSH 连接。不要用大规模扫描工具探测他人资产。
在控制台复查所有绑定安全组：实际 SSH 端口没有宽泛 IPv4/IPv6 放行；业务端口规则未被误删。安全组规则与操作记录应保存变更前后截图或工单号。
若登录失败，先利用已验证的 VNC 入口检查 ECS 内的 SSH 服务和主机防火墙；若只是安全组来源填错，在控制台回滚规则，再重测新会话。

配置判断：单 IP、VPN，还是堡垒机？

固定单人或少量运维出口，可以先使用精确的/32来源规则。来源经常变化、多人值班，逐个维护家宽或手机热点 IP 容易失效，可评估固定出口 VPN 或堡垒机，把管理入口集中到一个受控网络。没有公网运维需求，应考虑仅在内网开放管理路径，减少公网入口。选择方案时还要看审计、账号权限、应急登录、跨地域管理和预算，而不仅是安全组里有几条规则。