| 第一优先 | 改用 VPN 或零信任接入，不发布公网 |
|---|---|
| 第二优先 | 限定来源 IP（合作方专线、CDN 回源段） |
| 第三优先 | 必须全网发布时加 WAF、认证与限速 |
自检方法（从外网侧扫描自己的地址）
自检方法（从外网侧扫描自己的地址）
1. 整理全部公网地址与已批准端口清单
2. 从外部云主机扫描这些地址的开放端口
3. 与清单比对，发现未登记端口即挂起排查
4. 每季度重复一次并留档自检扫描仅针对本单位自有公网地址，属于常规暴露面核查。
本包目录（400 条）
防火墙策略52 条
NAT 与发布75 条
- NAT 类型与处理顺序总览
- 服务器映射（目的 NAT）
- 源 NAT 配置思路
- 华为 nat-policy 规则结构
- NAT 地址池配置
- NAT 日志与地址溯源
- H3C NAT 配置要点
- PAT 端口复用
- 端口映射规划与最小发布
- NAT 会话查看
- 策略路由 PBR 基础
- NAT 不生效排查流程
- 接口地址复用（easy-ip）
- NAT 规则匹配顺序
- NAT 与 IPsec 兼容（NAT-T）
- 多出口 ISP 选路
- NAT 回流（hairpin）
- NAT 端口耗尽排查
- 深信服 AF 的 NAT 配置
- 服务器负载均衡 SLB
- WAF 在发布链路中的位置
- 发布证书管理
- FTP 与 NAT ALG
- VPN 流量免 NAT 配置
- 策略路由配置示例
- 负载均衡健康检查
- 双出口故障切换
- 对外暴露面收敛
- NO-PAT 一对一转换
- NAT 会话老化与业务影响
- 链路负载均衡
- 真实客户端 IP 传递
- DMZ 服务发布链路设计
- HTTPS 服务发布与卸载
- 常见问题：能出去回不来
- SIP 与音视频 ALG
- 策略路由不生效排查
- IPS 与边界设备的串联顺序
- CDN 回源与源站保护
- 先路由后 NAT 的验证方法
- 发布服务遇到 DoS 的缓解思路
- NAT 会话同步要点
- NAT 配置备份与版本对比
- NAT 变更风险控制
- 端口范围与保留端口
- ISP 地址表与智能选路
- 负载均衡会话保持
- 链路质量探测与阈值
- 服务发布验证方法
- NAT 映射台账管理
- VRRP 与双机 NAT 出口
- 日志外发验证方法
- GRE 与 NAT 的配合
- NAT 场景的 MSS 与 MTU 注意点
- 单 IP 会话数限制
- NAT 日志字段解读
- 常见问题：时通时不通
- 内网互访经防火墙转发
- IPv6 地址转换 NAT66 与 NPTv6
- 发布地址的路由与黑洞风险
- 内网互访免 NAT
- 端口发布审批流程
- 常见问题：部分主机不能上网
- NAT 相关监控指标
- 设备更换时的 NAT 迁移
- 分片报文与 NAT 的兼容
- 临时发布的回收
- NAT 上线检查清单
- 公网地址规划与登记
- NAT 命中情况查看
- 代理 ARP 与发布地址
- NAT 端口利用率监控
- NAT 规则台账
- NAT 变更记录
- 地址池监控与告警
对外暴露面收敛
互联网暴露面按「可不开就不开、能内网不放公网、必须发布加防护」三级收敛，是降低被攻击概率的基础工程。
易错点
- 只统计不治理等于没做，未登记端口要有明确的下线动作
- 扫描来源与时间要登记，避免被内部监控误判为攻击行为
数据来源与参考
- GB/T 22239 等级保护基本要求（边界防护）
- OWASP ASVS（对外服务暴露面控制建议）