为什么要走审批
新增公网映射属于扩大暴露面的变更：开放一个端口，就等于把一项服务放进公网可达范围。走审批能拦住私人服务、未评估服务被顺手发布，也让防护措施（访问认证、WAF、限速）在发布前就位，并留下可追溯的变更记录。
基本信息
| 审批要素 | 业务必要性、防护措施、数据敏感度、有效期 |
|---|---|
| 技术评估 | 是否需要 WAF 或访问认证、能否收敛到内网或 VPN |
| 留痕 | 审批单与配置变更记录关联 |
| 复查 | 按有效期复核，到期未续期即回收 |
典型使用场景
- 业务部门要求把内部系统开放到公网
- 临时开放测试端口，需要明确到期时间
- 审计检查暴露面清单与审批记录
- 端口发布前的防护措施评估
- 季度复查公网映射是否仍有必要
审批要点清单
审批要点清单
1. 能否改为 VPN 访问而不发布公网
2. 是否已接入 WAF 或访问认证
3. 暴露服务的软件版本是否仍在支持期
4. 谁负责上线后的监控与到期下线
5. 发布范围是全网可达还是限定来源地址
6. 审批单与配置变更记录如何关联留痕审批要素与风险
| 要素 | 不明确时的后果 |
|---|---|
| 业务必要性 | 暴露面清单持续膨胀，无人说得清用途 |
| 防护措施 | 服务裸奔上线，出问题才补救 |
| 有效期 | 临时开放变成长期暴露 |
| 责任人 | 到期无人回收，成为被遗忘的入口 |
把「临时开放」默认设为有到期日，到期自动进入待回收清单，比靠人记更可靠。
先上线后补审批会让暴露面管理失控：记录永远追不上实际配置。
暴露面清单建议每季度与设备实际配置对账一次：清单有而设备没有的说明情况，设备有而清单没有的补审批或回收。