| 加固项 | 出网治理 |
|---|---|
| 适用平台 | 企业网络/云 VPC |
| 风险等级 | 中 |
| 基线 | 生产主机无直连公网出口 |
主机侧只放行代理
主机侧只放行代理
iptables -N EGRESS
iptables -A OUTPUT -j EGRESS
iptables -A EGRESS -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A EGRESS -d 10.0.0.20 -p tcp --dport 3128 -j ACCEPT
iptables -A EGRESS -j LOG --log-prefix 'EGRESS-BLOCK: '
iptables -A EGRESS -j REJECT代理侧白名单与日志
代理侧白名单与日志
# squid 示例：acl allowlist dstdomain .example.com
# http_access allow localnet allowlist; http_access deny all
# access.log 按天切割并留存 ≥6 个月出网白名单要覆盖包管理器源、时间同步、证书 OCSP、监控上报等隐性依赖，否则会出现“随机失败”。