量化程序部署到云服务器后，安全组别直接放通全部端口

把量化程序搬到云服务器时，大家通常先算 CPU 和内存够不够，安全组反而容易被顺手带过。最常见的做法是为了省事先选“放通全部端口”，想着程序跑起来再改，结果忙完部署就把这件事忘了。量化脚本多数只是定时拉行情、跑计算、存结果，其实没有必要让一堆端口一直暴露在公网。最近重新看腾讯云的 CVM 文档，安全组本质上是有状态的包过滤虚拟防火墙，负责管住哪些流量能进、哪些流量能出。配置时不用追求复杂，先把这台机器到底跑什么列清楚就行。

比如 Linux 服务器只需要 SSH 运维，就开放 22 端口，并尽量把来源限制为自己常用的固定出口 IP；确实有 Web 服务，再单独加 80 或 443。数据库和 Redis 如果都在同一个 VPC，优先走内网，让对应安全组之间互相放行，不要直接对公网开放。出站规则也别收得太急，量化程序要访问行情接口、交易接口、代码仓库或对象存储，DNS 和 HTTPS 往往都少不了。改完规则之后，最好把登录、拉取数据、定时任务、消息通知分别跑一遍，否则平时看不出问题，等到开盘前脚本才报连接失败，会很被动。还有人觉得换掉默认 SSH 端口就安全了，其实这最多只能少碰到一些批量扫描，密钥登录、限制管理来源、系统更新，以及不用的服务及时关掉，还是得一起做。腾讯云的 CVM 最佳实践也建议 Linux 尽量用 SSH 密钥，并对端口和 IP 设置更严格的范围。

我的理解是，安全组不用一次配得特别“专业”，但每条放行规则最好都能说清楚是谁在用。策略下线、数据库迁走或者临时调试结束后，顺手把对应规则删掉。把安全组当成部署清单的一部分定期检查，比等扫描告警出现后再回头补配置省心得多。