以外部视角验证暴露面
防火墙配置得对不对，要以外部视角能否连通为准：从公网或其他网段对自有资产做定向端口探测，再与本机监听清单交叉核对。只看配置文件很容易漏掉云安全组、负载均衡、CDN 这类中间设备带来的额外暴露。探测必须只针对自有资产并事先备案，对非自有地址扫描可能违法。
基本信息
| 适用平台 | 全部平台 |
|---|---|
| 风险等级 | 中 |
| 基线要求 | 无计划外的对外暴露端口 |
| 常用工具 | nmap、nc、telnet |
| 核对方式 | 与主机监听清单交叉比对 |
典型使用场景
- 上线前的暴露面验证
- 防火墙规则收敛后的效果确认
- 云环境安全组变更后的复核
- 合规检查中的外部暴露面举证
- 应急响应期间确认是否新增了对外端口
- 与资产台账核对未登记的对外服务
从外部主机验证
从外部主机验证
nmap -Pn -p 22,80,443,3306,6379,9200,11211,3389 <自有公网IP> # 定向探测常见高危端口
nc -zv -w 3 <自有公网IP> 6379 # 单端口连通性确认
nmap -Pn -p- --min-rate 500 <自有公网IP> -oN scan.txt # 全端口扫描并保存结果
head -30 scan.txt # 查看扫描结论本机侧交叉清单
本机侧交叉清单
ss -tulnp | awk '{print $1, $5, $7}' | sort -u # 本机监听的端口与进程
firewall-cmd --list-all 2>/dev/null | head # 主机防火墙的放行项比对项与判读
| 比对项 | 含义 | 注意点 |
|---|---|---|
| 外部可达端口 | 从公网能连通的端口 | 与监听清单核对差异 |
| 本机监听端口 | 系统内正在监听的端口 | 包含仅监听本机的项 |
| 中间设备规则 | 云安全组、WAF、负载均衡 | 单独维护，不在主机侧 |
| 探测来源位置 | 从哪个网络位置发起 | 结论只对该位置成立 |
| 扫描时间点 | 探测发生的时刻 | 变更之后需要重新验证 |
只对自有资产做探测，并且事先在变更或安全团队备案：对非自有地址做扫描可能涉及违法。
云环境里从同一 VPC 内扫描的结果与公网视角不同：验证暴露面必须从公网发起。
探测结果还会受中间设备影响（WAF、CDN、负载均衡）：核对来源 IP 白名单时要按真实链路节点判断，而不是看探测脚本所在的那台主机。