| 加固项 | 子网级边界 |
|---|---|
| 适用平台 | 云 VPC（AWS NACL 等） |
| 风险等级 | 中 |
| 基线 | 子网级有兜底拒绝规则 |
AWS NACL 查看
AWS NACL 查看
aws ec2 describe-network-acls --query 'NetworkAcls[].{Id:NetworkAclId,Entries:Entries}'NACL 无状态：放行入向端口时别忘了对应的出向临时端口（1024-65535），否则连接建立不了。
本包目录（363 条）
主机加固基线90 条
防火墙与访问控制50 条
- iptables 最小基线规则集（白名单模型）
- 0.0.0.0/0 高危端口专项核查
- ufw 与 Docker 端口绕过（DOCKER-USER 链）
- Windows 防火墙启用并默认阻止入站
- Windows 防火墙三档案状态核查
- iptables 默认策略（安全顺序与自锁防护）
- 云安全组入方向最小化原则
- firewalld 状态与区域概览
- ufw 状态与默认策略（Ubuntu/Debian）
- 防火墙变更流程（备份-灰度-验证-回滚）
- firewalld 放行服务与端口（permanent+reload 流程）
- 堡垒机/跳板机收敛管理面
- firewalld 富规则（源限定与限速）
- iptables 规则查看（-S 与计数器）
- fail2ban 自动封禁（与防火墙后端联动）
- PowerShell 精细化规则（New-NetFirewallRule）
- 防火墙自锁后的自救路径
- firewalld 默认区域收敛（drop 基座）
- ufw 规则增删改查（含按编号删除）
- IPv6 防火墙同步收敛
- 应急封禁与解封（疑似入侵时的边界动作）
- firewalld 源地址绑区（管理网白名单）
- iptables recent 模块限制 SSH 爆破
- netsh 防火墙规则增删查
- 暴露面自查（外网视角验证）
- iptables 规则持久化（重启不丢）
- 出方向限制（egress 白名单）
- 安全组与主机防火墙的双层模型
- VPN 收敛管理入口
- 白名单设计方法（资产×端口×来源矩阵）
- Windows 防火墙导出/导入与 GPO 统一下发
- nftables 基础与持久化（RHEL 9+/Debian 11+ 默认）
- firewalld 拒绝日志（审计闭环）
- iptables-apply 安全应用（自动回滚）
- ufw 限速放行与日志留存
- 连接数与扫描缓解（connlimit + 畸形包过滤）
- 安全组规则导出评审与定期复核
- ipset 大规模 IP 封禁（黑名单万级条目）
- 隧道与端口转发行为审计
- ufw 应用 Profile（按内置模板放行）
- Windows 防火墙日志启用与判读
- 防火墙规则定期复核与死规则清理
- 企业出口统一代理与出网白名单
- VPC 网络 ACL / 子网级补充控制
- 管理端口非标化与访问收敛的取舍
- 规则命名与注释规范（可审计性）
- 端口敲门/单包授权（SPA）隐藏管理端口
- SYN 泛洪基础防护（synproxy 与内核参数配合）
- DROP/REJECT 选择与拒绝日志策略
- 地域封禁与 IP 信誉（按需启用的减噪手段）
VPC 网络 ACL / 子网级补充控制
网络 ACL 作用于子网，可做整体网段级拒绝（如封禁全部入向 3389）；它与安全组互补，但无状态，需成对处理回包。
易错点
- 默认 NACL 全放行：别误以为有安全组就足够，子网级兜底要显式配置
- NACL 规则按编号从小到大匹配：拒绝规则要排在对应允许规则之前
数据来源与参考
- AWS 文档：Network ACL
- 云网络分层控制实践