加固完 IPv4，IPv6 还开着

有次按清单把 SSH 加固了一遍，安全组只放行办公 IP，从外网连不上，收工。过几天做 IPv6 排查，随手一连，居然通了——安全组只配了 IPv4 规则，IPv6 走的是另一套。

这类漏网很常见。端口暴露很少是「开或关」一个问题，而是有好几个入口，你只关了其中几个。

暴露面要按入口数，不是按机器数

同一个服务，可能同时有 IPv4 和 IPv6 入口；云上有安全组，机器上还有系统防火墙；多地域部署时，每个地域一套规则；再加上负载均衡、跳板机、容器端口映射。

任何一个入口没对齐，外面的扫描器就能进来。你在其中一台上做的加固，不代表其他入口也被覆盖。

宝塔拨测控制台：定时拨测任务、节点与告警配置

宝塔拨测控制台：定时拨测任务、节点与告警配置

从外面逐入口验证

在宝塔拨测的控制台做 TCP 探测，指定 SSH 端口和目标地址，从多个地区、多个运营商的节点发起。IPv4 和 IPv6 分开测，域名和 IP 也分开测。

这一步的意义在于：它不依赖你对自己的配置有多自信，只告诉你外面实际能不能连上。探测走 TCP 握手，服务器禁 ping 不影响结果。

分组结果怎么读

所有节点都连不上，说明规则生效，也没有漏掉的入口，这是我们要的结果。

所有节点都能连，说明规则压根没起作用，先去确认安全组绑对了实例没有。

只有部分运营商或地区能连，得分两种可能：白名单正好覆盖了那些出口，或者那条链路上还有别的入口。对照自己的规则，能区分开。

平均、最快、最慢和超时节点一起看，超时集中在哪些分组，暴露面就可能在那一块。看之前先确认探测的目标和你改的机器是同一台，域名后面挂着负载均衡的话，测到的可能不是你以为的那台。

让规则漂移被看见

加固不是一次性动作。换安全组、加临时放行、迁移机器、上新的负载均衡，都会把端口重新暴露出去，而且通常没人通知运维。

我会把 SSH 端口做成定时拨测任务，按周期从外部探测，状态从不可达变可达就告警。连续两三次一致再报，避免被节点抖动打扰。

探测通过，不等于登录安全

端口关着，认证层的问题依然可能存在；端口开着但只允许密钥登录，风险等级也完全不同。两件事要分开评估。

复测时除了探测，还要实际登录一次，确认密钥可用、密码认证确实关了、失败次数限制生效。改之前先留好带外通道，别把自己锁在外面。

该警惕的信号：IPv6 路径能连、某个从未放行的地区能连、日志里出现成功登录的陌生 IP。出现任意一条，回头把入口重新数一遍。