管理入口收敛对照
| 入口 | 默认端口 | 收敛方式 |
|---|---|---|
| SSH | 22 | 堡垒机/密钥+来源限制 |
| RDP | 3389 | 跳板机+网关+MFA |
| 数据库管理 | 3306/5432/1433 | 内网直连或隧道 |
| 中间件控制台 | 7001/8080/9090 | 内网或反代加鉴权 |
| 容器与编排 | 2375/6443 | 管理网段限定 |
来源限定示例（iptables 思路）
来源限定示例（iptables 思路）
iptables -A INPUT -p tcp --dport 22 -s 10.10.0.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
# 云上优先改安全组规则，主机防火墙作为第二层收敛动作要在业务可维护性之间找平衡：把入口统一到堡垒机，比逐台限制来源更可持续。