| 概念 | 出站连接的源端口=动态端口 |
|---|---|
| 规则写法 | 按目标地址/端口放行出站，或允许高位源端口段 |
| 安全视角 | C2 与数据外传常伪装 443 或高位端口 |
| 建议 | 出站默认拒绝 + 目标白名单 + 日志审计 |
纯按源端口管理是伪安全：攻击者同样用高位口；正确姿势是目标地址/端口白名单，配合出站日志与 DNS 监控识别异常外联。
出站策略观察
出站策略观察
ss -tan state established | awk '{print $4}' | sed 's/.*://' | sort | uniq -c | sort -rn | head
# 高频异常端口/目标应进入审计清单