三种绑定方式的区别
0.0.0.0 是通配地址，服务绑它意味着监听本机所有网卡的所有地址，公网口也在内；127.0.0.1 属于回环网段，只有本机进程能连；绑某个具体 IP 时，仅当流量目的地址是这个 IP 才响应。选哪种绑定，直接决定服务对外的暴露面。
基本信息
| 0.0.0.0 | 监听全部 IPv4 地址，含公网；等价于安全边界对外打开 |
|---|---|
| 127.0.0.1 | 仅本机可访问，不出网卡，抓包也看不到流量 |
| :: | IPv6 通配地址，Linux 上默认同时接收 IPv4（双栈套接字） |
| 具体 IP | 只在该网卡与地址上生效，适合多网卡分区隔离 |
| 配置位置 | 应用配置文件的 listen/bind 项，如 nginx listen、MySQL bind-address、Redis bind |
典型使用场景
- 数据库、消息队列只给同机或内网应用用，绑回环或内网地址可省掉一层防火墙策略
- Nginx/网关要对外服务，绑 0.0.0.0，前面再加安全组控制来源
- 同机多实例：不同实例绑不同内网地址或不同端口，避免抢同一端口
- 调试期临时把服务绑回环，用 SSH 端口转发给远端排查，线上不开口子
- 容器内服务绑 0.0.0.0，再靠端口映射决定是否暴露到宿主
查看监听面
查看监听面
ss -lntp # Linux：Local Address 列看 0.0.0.0 还是 127.0.0.1
ss -lntp | grep -v 127.0.0.1 # 只列出对外监听，快速做暴露面体检
netstat -ano | findstr LISTENING # Windows 等价命令
lsof -iTCP -sTCP:LISTEN -P -n # 另一条常用命令
# 从别的机器验证：nc -vz <本机IP> <端口>绑定方式对比
| 绑定 | 可达范围 | 典型用途 |
|---|---|---|
| 0.0.0.0 | 所有网卡、所有来源 | 对外 Web、负载均衡前端 |
| 127.0.0.1 | 仅本机进程 | 数据库、管理面、反向代理后端 |
| 192.168.1.10 | 仅该网卡地址可达范围 | 内网服务、多网卡隔离 |
| :: | IPv6 全接口（含 IPv4 映射） | 双栈监听，替代 0.0.0.0 |
常见误配对照
| 误配现象 | 实际后果 |
|---|---|
| MySQL bind-address 留默认或写 0.0.0.0 | 3306 对全部网卡开放，弱口令即被爆破 |
| Redis 同时关掉 protected-mode 又绑 0.0.0.0 | 未授权访问，可被写 SSH 公钥提权 |
| 内网服务绑 127.0.0.1 却指望外机访问 | 连接被拒，排查方向常被误判为防火墙问题 |
| 容器内绑 127.0.0.1 再做端口映射 | 映射通了也连不上，因容器内流量目的地址不是回环 |
把数据库或管理面板绑成 0.0.0.0 是线上最常见的高危配置，一旦安全组或防火墙漏放行，等于把库直接交给扫描器。