管理入口为什么要收进 VPN
把 SSH、RDP、管理面板、数据库管理端口只对 VPN 网段开放，公网零放行，是最简单也最有效的降暴露手段：运维人员先接入 VPN 再操作，公网侧没有可直接到达的管理入口。这样即使某个管理服务存在未修补漏洞，攻击者也没有可利用的入口。代价是 VPN 网关变成关键单点，必须单独加固、单独审计，账号本身也要做多因素认证。
基本信息
| 适用平台 | Linux / Windows / 网络设备，含云主机与自建机房 |
|---|---|
| 收敛对象 | SSH、RDP、Web 管理面板、数据库管理端口、带外管理口 |
| 基线 | 管理端口仅 VPN 网段可达，公网零放行 |
| 配套要求 | VPN 侧启用多因素认证与登录失败锁定 |
| 风险等级 | 高 |
典型使用场景
- 公网服务器加固：把 22、3389 的来源从 0.0.0.0/0 改为 VPN 网段
- 数据库管理端口保护：只允许从跳板或 VPN 网段访问
- 网络设备带外管理：管理地址只在运维专用网段可达
- 等保整改：管理面与业务面分离，减少暴露面
- 应急期临时收紧：漏洞爆发期先断开公网管理入口
主机侧与云侧落地
主机侧与云侧落地
sudo ufw allow from 10.88.0.0/24 to any port 22 proto tcp
sudo ufw default deny incoming
sudo ufw enable
sudo ufw status verbose # 核对默认策略与放行来源
# 云安全组同步：22/tcp 来源改为 VPN 网段，删除 0.0.0.0/0 放行
# Windows：Get-NetFirewallRule -DisplayName '*远程桌面*' | Set-NetFirewallRule -RemoteAddress 10.88.0.0/24
ss -tulnp | grep -E ':22|:3389' # 确认管理端口仍在监听但来源已受限改造点与验证
| 改造点 | 动作 | 验证方式 |
|---|---|---|
| 主机防火墙 | 把管理端口来源改为 VPN 网段 | 从公网 IP 探测应连接超时 |
| 云安全组 | 同步删除公网放行条目 | 控制台核对规则来源 |
| VPN 侧 | 启用 MFA 与失败锁定 | 用错误口令试探应触发锁定 |
| 带外通道 | 确认独立的应急管理路径可用 | 模拟 VPN 故障时可带外接入 |
| 审计 | VPN 登录与设备操作日志集中留存 | 抽查登录记录与操作日志 |
VPN 网关成为最高价值目标：单独网段、单独审计、补丁优先；条件允许时上零信任或单包授权方案，避免账号口令即钥匙。
落地要点
- 先确认带外或应急通道可用，再断公网管理入口，避免把自己锁在门外
- 分阶段推进：先对一批非关键机器验证流程，再推全部
- 云安全组与主机层同步调整，避免只改一层留下影子放行
- VPN 账号纳入统一身份管理与离职流程，及时回收权限
- 把临时恢复公网管理入口写成应急预案，非漏洞期不应启用
分流隧道（split tunnel）配置不当会让终端同时暴露公网与内网，成为攻击者的摆渡点：如需分流，用策略只放行业务网段。