| 审批要素 | 业务必要性、防护措施、数据敏感度、有效期 |
|---|---|
| 技术评估 | 是否需要 WAF/认证、是否可收敛到内网访问 |
| 留痕 | 审批单与配置变更记录关联 |
审批要点清单
审批要点清单
1. 是否可改为 VPN 访问而不发布公网
2. 是否已接入 WAF 或访问认证
3. 暴露服务的软件版本是否受支持
4. 谁负责上线后监控与到期下线把「临时开放」默认设为有到期日，到期自动回落为待回收清单。
本包目录（400 条）
防火墙策略52 条
NAT 与发布75 条
- NAT 类型与处理顺序总览
- 服务器映射（目的 NAT）
- 源 NAT 配置思路
- 华为 nat-policy 规则结构
- NAT 地址池配置
- NAT 日志与地址溯源
- H3C NAT 配置要点
- PAT 端口复用
- 端口映射规划与最小发布
- NAT 会话查看
- 策略路由 PBR 基础
- NAT 不生效排查流程
- 接口地址复用（easy-ip）
- NAT 规则匹配顺序
- NAT 与 IPsec 兼容（NAT-T）
- 多出口 ISP 选路
- NAT 回流（hairpin）
- NAT 端口耗尽排查
- 深信服 AF 的 NAT 配置
- 服务器负载均衡 SLB
- WAF 在发布链路中的位置
- 发布证书管理
- FTP 与 NAT ALG
- VPN 流量免 NAT 配置
- 策略路由配置示例
- 负载均衡健康检查
- 双出口故障切换
- 对外暴露面收敛
- NO-PAT 一对一转换
- NAT 会话老化与业务影响
- 链路负载均衡
- 真实客户端 IP 传递
- DMZ 服务发布链路设计
- HTTPS 服务发布与卸载
- 常见问题：能出去回不来
- SIP 与音视频 ALG
- 策略路由不生效排查
- IPS 与边界设备的串联顺序
- CDN 回源与源站保护
- 先路由后 NAT 的验证方法
- 发布服务遇到 DoS 的缓解思路
- NAT 会话同步要点
- NAT 配置备份与版本对比
- NAT 变更风险控制
- 端口范围与保留端口
- ISP 地址表与智能选路
- 负载均衡会话保持
- 链路质量探测与阈值
- 服务发布验证方法
- NAT 映射台账管理
- VRRP 与双机 NAT 出口
- 日志外发验证方法
- GRE 与 NAT 的配合
- NAT 场景的 MSS 与 MTU 注意点
- 单 IP 会话数限制
- NAT 日志字段解读
- 常见问题：时通时不通
- 内网互访经防火墙转发
- IPv6 地址转换 NAT66 与 NPTv6
- 发布地址的路由与黑洞风险
- 内网互访免 NAT
- 端口发布审批流程
- 常见问题：部分主机不能上网
- NAT 相关监控指标
- 设备更换时的 NAT 迁移
- 分片报文与 NAT 的兼容
- 临时发布的回收
- NAT 上线检查清单
- 公网地址规划与登记
- NAT 命中情况查看
- 代理 ARP 与发布地址
- NAT 端口利用率监控
- NAT 规则台账
- NAT 变更记录
- 地址池监控与告警
端口发布审批流程
新增公网映射属于扩大暴露面的变更，走审批可以避免私人服务或未评估服务被发布到公网。
易错点
- 先上线后补审批会让暴露面管理失控，流程要前置于配置
- 审批里不写有效期，临时发布容易变成长期暴露
数据来源与参考
- GB/T 22239 等级保护基本要求（变更管理与边界防护）
- ISO/IEC 27001 变更管理实践