在阿里云 ECS 上复跑 harness 评测，优先用安全组出方向规则做白名单管控，harness 评测过程里要拉取代码包、依赖库、基准数据集，一旦出网被拦截，评测脚本直接报错中断，所以先把出网白名单搞定再跑评测，是最稳妥的顺序。很多人踩坑是直接把安全组全开，或者只配置了入网规则，忽略了云防火墙、NAT 网关、VPC 网络 ACL 也会拦截出站流量，还有 harness 依赖的域名经常会解析出多个 IP，只加单个 IP 容易跑一半失败；先梳理 harness 评测所有需要访问的目标 IP、域名、端口，再根据你的网络架构选方案，简单场景直接改 ECS 绑定安全组的出方向，多机统一管控就用云防火墙互联网边界策略，走 NAT 网关的环境要配置 NAT 边界策略，全部配置完成后在 ECS 内部用 curl、ping、wget 验证连通性，确认依赖地址都能正常访问，再启动 harness 评测任务，就能避免评测中途网络阻断。下面分方案、步骤、校验、排错拆开讲清楚。
一、三种出网白名单方案对比（harness 评测适用）
| 方案 | 适用场景 | 优点 | 局限 |
|---|---|---|---|
| 安全组出方向白名单 | 单台、少量 ECS 跑 harness 评测，独立 EIP | 配置简单、免费、生效快 | 适合少量目标，域名多的时候 IP 会变，维护麻烦 |
| 云防火墙互联网边界出向策略 | 多台 ECS、统一管控，需要域名白名单 | 支持域名、IP、端口，集中管理 | 需要开通云防火墙，有计费 |
| NAT 网关 + 云防火墙 NAT 边界策略 | ECS 无公网 IP，全部流量走 SNAT | 统一出口 IP，适合批量评测集群 | 依赖 NAT 网关，路由要先指向 NAT |
二、方案 1：安全组出方向白名单（推荐个人、单实例评测）
核心逻辑：先添加一条低优先级拒绝全部出站，再添加高优先级允许 harness 依赖地址，优先级数字越小越优先匹配
- 登录阿里云 ECS 控制台，找到跑 harness 评测的实例，查看它绑定的安全组
- 进入安全组详情页，切换到
- 新建拒绝规则：授权对象 0.0.0.0/0，协议全部，端口全部，优先级 100，策略拒绝
- 新建允许规则（harness 依赖地址）：
- 代码仓库、pip 源、git 源、数据集下载地址，填写目标 IP/CIDR
- 协议 TCP，端口按需：80、443、22
- 优先级 1~50，策略允许
- 保存规则，等待 10 秒左右生效
- ECS 内执行连通性测试：wget、git clone、curl 测试 harness 要访问的地址
【出方向规则】
注意：安全组不支持直接填域名，只能填 IP；域名会动态解析，这种场景优先云防火墙方案
三、方案 2：云防火墙互联网边界白名单（harness 依赖多域名首选）
- 打开云防火墙控制台，防护配置→访问控制→策略配置→互联网边界，切换
- 创建 IPv4 出向策略，源填 ECS 私网 IP，目的填 harness 需要的域名 / IP，端口 80、443、22，动作允许
- 最后一条策略：源不限，目的不限，动作拒绝，优先级靠后
- 保存策略，策略状态开启
- 回到 ECS，验证 harness 依赖地址连通性
【出向】
四、方案 3：NAT 网关环境（无公网 IP 的 ECS 集群跑 harness）
- 确认 VPC 子网路由已经指向 NAT 网关 SNAT 条目，ECS 通过 NAT 出公网
- 云防火墙控制台进入 NAT 边界页面，选中对应 NAT 网关
- 创建 NAT 边界访问控制策略，源是 ECS 私网段，目的是 harness 依赖域名或 IP，放行端口
- 末尾增加默认拒绝策略，控制所有其他出站流量
- 批量 ECS 统一生效，适合多节点并行 harness 评测
五、harness 评测前必做连通校验清单
- git 拉取地址：git clone 测试
- pip/conda 源：curl 源地址
- 数据集下载地址：wget 下载小文件
- 模型 / 基准包服务器：ping + telnet 端口
- DNS 解析：nslookup 依赖域名，确认解析 IP 都在白名单内
六、常见阻断排查点
- VPC 网络 ACL：子网绑定的 ACL 也会拦截出站，ACL 默认放行，手动改了之后会阻断
- 系统内部防火墙：ECS 内部 firewalld、iptables，不要忽略操作系统层面拦截
- 域名多 IP：同一个域名解析多个 IP，要把全部解析 IP 加入白名单，或者改用云防火墙域名策略
- 规则优先级：拒绝规则优先级不能高于允许规则，否则白名单不生效
【相关 FAQ】
问题 1：阿里云 ECS 复跑 harness 评测配置出网白名单，安全组和云防火墙该选哪一个？
回答 1：阿里云 ECS 复跑 harness 评测配置出网白名单，如果只是单台 ECS、依赖地址固定、IP 不变，直接用安全组出方向白名单，免费上手快；如果 harness 评测依赖大量域名、有多台 ECS 同时跑评测，优先云防火墙互联网边界出向策略，支持域名白名单，不用频繁更新解析 IP。
问题 2：阿里云 ECS 复跑 harness 评测，加了安全组出网白名单之后 git 拉取依赖还是超时是什么原因？
回答 2：阿里云 ECS 复跑 harness 评测，安全组出网白名单只填域名不行，安全组只能识别 IP，域名解析出来的多个 IP 没有全部加入白名单，或者 VPC 网络 ACL、云防火墙、系统 iptables 额外拦截了出站流量，需要 nslookup 拿到所有解析 IP 全部放行，同时检查其他网络控制组件。
问题 3：无公网 IP 的阿里云 ECS 集群复跑 harness 评测，怎么配置出网白名单？
回答 3：无公网 IP 的阿里云 ECS 集群复跑 harness 评测，所有 ECS 流量走 NAT 网关 SNAT，需要在云防火墙 NAT 边界页面配置出网白名单策略，源填写 ECS 私网网段，放行 harness 评测需要的域名、IP 和端口，最后配置默认拒绝策略管控其他出网流量。
问题 4：阿里云 ECS 复跑 harness 评测，出网白名单配置完成后，需要哪些验证步骤再启动评测？
回答 4：阿里云 ECS 复跑 harness 评测，出网白名单配置完成后，要在 ECS 内部依次测试 git 拉取、pip 源访问、数据集下载地址、DNS 解析、端口连通性，确认所有 harness 评测依赖地址都能正常访问，再启动 harness 评测任务，避免评测中途网络中断。
【参考资料】
[2026-10-30]（云防火墙 NAT 边界访问控制策略配置文档）阿里云帮助中心
[2026-09-21]（ECS 安全组出方向白名单、出站流量管控最佳实践）阿里云帮助中心
[2026-09-07]（VPC NAT 网关 SNAT 结合访问控制管控 ECS 出网流量）阿里云帮助中心
[2026-08-25]（云防火墙互联网边界出向策略创建教程）阿里云帮助中心
[2026-06-25]（ECS 安全组限制实例访问外部目标使用案例）阿里云帮助中心
【免责声明】
本文整理的阿里云 ECS 复跑 harness 评测出网白名单配置方法、规则逻辑、排查步骤仅为技术参考，网络策略生效范围、计费项、策略上限以阿里云官方文档和控制台实时展示为准；安全组、云防火墙、NAT 网关、网络 ACL 多层网络策略叠加会互相影响，配置错误可能导致业务、评测任务网络异常；本文不构成网络安全方案建议，正式评测环境配置前请做好连通性测试，有网络策略故障请联系阿里云官方技术支持。