大麦云很多架构师或运维工程师在接手一个已经运行了一段时间的阿里云账号时，第一件事往往是点开 ECS 列表看有几台机器，却忽略了底层的专有网络（VPC）和安全组。大麦云提醒，如果不先把存量网络拓扑摸清楚，贸然重启实例或删改某条看似闲置的路由，很可能导致跨可用区服务瞬间失联。
第一步：导出 VPC 网段与交换机分布图
进入阿里云专有网络控制台，按常用地域逐一查看现有 VPC 的 CIDR 网段（如 `10.0.0.0/8` 或 `172.16.0.0/12`）以及下属交换机（vSwitch）所处的可用区。核查是否存在两个不同地域 VPC 网段完全重叠的情况——如果未来需要打通跨地域云企业网或 VPN，重叠网段会成为最大的拦路虎。
配图为流程示意，非控制台截图或交易凭据。
第二步：重点排查安全组里的全网敞口规则
存量账号里最常见的隐患，是前任人员为了临时调试方便，在安全组入方向添加了 `0.0.0.0/0` 放行全部端口或直接暴露了 SSH（22）、RDP（3389）、MySQL（3306）、Redis（6379）等敏感管理端口。
| 网络清查对象 | 重点核对内容 | 发现异常时的稳妥处置方式 |
|---|---|---|
| VPC 与交换机 | 各地域网段是否冲突、可用区剩余可用私网 IP 数 | 记录拓扑基线，在剩余 IP 不足的子网旁预留新交换机 |
| 路由表与网关 | 是否存在指向 NAT 网关、VPN 或对等连接的自定义路由 | 核实每条非系统路由对应的下游业务，严禁盲目删除 |
| 安全组入方向 | 是否存在针对管理端口或数据库端口的 `0.0.0.0/0` 规则 | 先通过网络连接日志确认真实调用源 IP，再逐步收敛白名单 |
第三步：核对弹性公网 IP 与流量出入口计费
在摸清内网连接的同时，还应列出该阿里云账号下绑定的所有弹性公网 IP（EIP）、NAT 网关及负载均衡实例，看清哪些是按固定带宽包月、哪些是按使用流量或 CDT 云数据传输计费，做到拓扑与成本心中有数。
配图为流程示意，非控制台截图或交易凭据。
示例：清理前任遗留的测试安全组避免数据库裸奔
某工程师接管一套海外电商阿里云账号后，按清单逐个检查安全组，发现其中一个绑定了生产读取节点的辅安全组里竟留着一条备注为“临时联调”的全网放行 3306 规则。工程师先在数据库审计里确认近七天仅有内网 IP 访问，随后将该条公网规则移除，消除了潜在的数据泄露风险。
发现某个安全组没有任何 ECS 实例绑定，可以立刻删掉吗？
在删除无实例绑定的空安全组前，建议先检查它是否被其他安全组的授权规则引用（即“按安全组 ID 授权”），以及是否有弹性网卡或自动化扩容模板正指向该安全组 ID。
延伸阅读与办理
可继续阅读云服务器安全组调整前检查什么？变更与验证清单。需要办理时，先查看阿里云账号服务说明，再通过大麦云咨询入口说明用途与待核对事项。
官方资料
阿里云：弹性公网 IP 计费概述；阿里云：云数据传输计费概述。资料核对日期：2026-10-28。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
