出网为什么要收
多数组织的访问控制只做出方向：入方向严防死守，主机却能随意访问互联网。这既是数据外带的通道，也是恶意软件回连的路径。统一出口代理搭配域名白名单，把「能不能访问」变成可审计的决策，主机侧只需放行到代理一条通路。
基本信息
| 适用平台 | 企业网络与云 VPC 的出方向治理 |
|---|---|
| 实现方式 | 正向代理（如 squid）或统一出口网关 |
| 主机侧配置 | 出方向仅放行代理地址与端口 |
| 基线 | 生产主机无直连公网出口 |
典型使用场景
- 数据外带防护：所有出网流量经过代理并留日志，异常上传更容易被发现
- 回连阻断：木马直连 C2 地址会被默认拒绝，需经白名单才能通过
- 合规要求：出方向访问控制与日志留存是常见检查项
- 成本优化：统一出口便于做缓存与流量统计
主机侧只放行代理
主机侧只放行代理
# 建立出方向链：先放行已建立连接，再放行到代理，其余拒绝并记录
iptables -N EGRESS
iptables -A OUTPUT -j EGRESS
iptables -A EGRESS -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A EGRESS -d 10.0.0.20 -p tcp --dport 3128 -j ACCEPT
iptables -A EGRESS -j LOG --log-prefix 'EGRESS-BLOCK: '
iptables -A EGRESS -j REJECT代理侧白名单与日志
代理侧白名单与日志
# squid 示例思路：按域名建允许列表
# acl allowlist dstdomain .example.com
# http_access allow localnet allowlist
# http_access deny all
# 访问日志按天切割并集中采集
ls -lh /var/log/squid/ | head白名单要覆盖的隐性依赖
| 类别 | 典型目标 | 遗漏表现 |
|---|---|---|
| 软件源 | 包管理器与镜像站 | 安装与升级随机失败 |
| 时间同步 | 内网或公网 NTP | 时钟漂移，登录与认证异常 |
| 证书校验 | OCSP 与 CRL 服务 | 部分客户端报证书错误 |
| 监控上报 | 监控与日志平台地址 | 数据断流，报表出现空白 |
| 备份与同步 | 对象存储与备份服务 | 备份任务超时失败 |
出网白名单要覆盖隐性依赖：包管理器源、时间同步、证书校验、监控上报这些不常被想到的目标漏掉后，表现为「随机失败」，排查成本很高。
代理是新的单点：要做双机与客户端自动切换预案，否则一次代理故障就会卡住所有发布与升级流程。