NAT 与端口映射审计是什么
内网服务通过 NAT 或端口映射暴露到公网时，映射规则会随时间堆积：为调试临时开的端口、已下线系统遗留的映射、无人能说清用途的老规则。审计的做法是定期导出全部映射规则与业务清单比对，给每条规则标注业务、责任人、必要性与生效时间，无法归属的先观察流量再处置。
基本信息
| 适用设备 | 边界防火墙、路由器、云 NAT 网关与弹性 IP |
|---|---|
| 审计对象 | DNAT/端口映射、虚拟服务器、UPnP 自动映射 |
| 输出 | 映射规则清单（含业务、责任人、必要性、到期时间） |
| 验证方式 | 规则变更后从外部复测端口可达性 |
审计要点
审计要点
1. 导出全部端口映射/虚拟服务器规则（防火墙/路由器/云 NAT 网关）
2. 逐条标注：业务名称、责任人、必要性、生效时间
3. 无法归属的规则先标记再观察流量，确认无用后删除
4. 新规则申请走流程：注明用途、有效期、到期回收
5. 删除前记录原始配置，避免误删影响业务后无法恢复高风险模式
| UPnP 自动映射 | 应用可自行开洞，绕过变更流程 |
|---|---|
| 全端口映射(DMZ 主机) | 等价于把主机直接放上公网 |
| 映射到办公终端 | 终端安全基线通常弱于服务器 |
| 云场景 | NAT 网关 SNAT/DNAT 规则与弹性 IP 绑定清单需一同核对 |
典型使用场景
- 季度边界审计：导出规则与业务清单做一次全量比对
- 暴露面收敛专项：清理无主规则与已下线系统的映射
- 云上核查：同步核对安全组、NAT 规则与弹性 IP 三份清单
- 变更管理：新增映射纳入流程并设置有效期
- 应急响应：确认攻击者可能通过哪些映射进入内网
规则核查表建议字段
| 字段 | 说明 |
|---|---|
| 公网地址与端口 | 对外暴露的入口 |
| 内网目标 | 实际指向的主机与服务 |
| 业务与责任人 | 谁在用、谁负责 |
| 必要性 | 是否必须先经统一入口（VPN/反向代理） |
| 到期时间 | 临时规则必须有回收日期 |
映射规则是『半开的门』：比直接开放安全的一点在于知道的人少，但这不构成控制手段，规则清单泄露或被枚举后风险与直接开放相同。
删除映射规则前先观察一段时间的连接日志，并与责任人确认：直接删除可能中断无人知晓的批量对接任务。