日志刷满 135，我先想到的是封网段

有天打开安全日志，满屏都是访问 135 端口的记录，来源 IP 换着来。第一反应是想把整个网段拉黑，甚至怀疑已经被打进来了。

冷静下来才想起来问一个更基本的问题：135 这个端口，对外到底是开的还是关的？如果根本没开，这些扫描只是在门口敲门，门本身没缝。

135 是 Windows 上 RPC 相关的端口，配套的 139、445 也常被一起扫。公网上的自动化扫描器不分青红皂白，看到 IP 就试一轮，日志里出现它，说明不了服务器已经失守。

站在外面看，比在机器里看更准

在服务器上执行 netstat，看到的是本机监听状态。但监听在 0.0.0.0 和真的能从公网连上，中间还隔着安全组、云防火墙、路由和运营商策略。

我习惯用宝塔拨测的控制台做这件事：从多个地区、多个运营商的节点发起端口检测，直接看外部能不能连上，顺带抓服务指纹和 Banner。端口选择里能勾常用服务，也能填自定义端口段，135 这种不在默认列表里的直接手填就行。

如果各地节点返回的都是关闭，那这批扫描可以先当噪音处理，重点放回日志观察；如果有一片节点显示开放，问题就不是「被扫」，而是「暴露」。

宝塔拨测控制台：定时拨测任务、节点与告警配置

宝塔拨测控制台：定时拨测任务、节点与告警配置

暴露面要看地区差异，不只看一个结果

单个节点说开放，可能只是那一条链路能通；多个地区、多个运营商一起看，才知道暴露面有多大。

有的环境安全组只对特定地域放行，结果就是本地能连、外地连不上。这种「看起来关着」的状态最容易让人放松警惕，换个节点一试就露馅。按运营商和地区分组的结果，比一个总开关式的结论有用。

端口开放只是第一层。Banner 抓出来的服务标识更重要：如果 135 对应的服务指纹清清楚楚，说明对方不仅能连上，还能识别出你在跑什么，这种暴露就该处理了。

一次性检查不够，得让它一直盯着

扫描是持续的，检查如果只做一次，等于没做。我现在会把需要关注的端口放进定时拨测，按周期从外部复查，端口状态一变就触发告警，不用天天手动点。

告警配置的关键是别什么都报。端口从关闭变开放、从开放变关闭，这两种变化值得通知；单次超时很可能只是节点抖动，连续复测两三次再判断更稳。

平时也可以隔段时间看一次历史结果，确认暴露面和当初评估的一致。机器换过安全组、加过临时规则，这些动作往往没人记录，但拨测结果会留下来。

真发现开着，我会这么处理

先确认这个端口是不是业务必须。135 这类 RPC 端口，绝大多数公网 Web 业务根本用不上，该关就关，安全组里只留必要来源。

关完别急着收工，回到拨测上复测一轮，确认各地节点都连不上了，再看日志里的扫描是不是还在。扫描不会因为端口关了而消失，但它已经打不到东西了。

值得警惕的是另一种情况：端口显示关闭，日志里却有成功的连接记录，或者机器上出现陌生的服务、异常的账号登录。这时候问题不在端口层，得往主机层面查。

扫描是背景噪音，暴露才是风险。把这两件事分开，处理起来就不慌了。