平时在家里连上 WiFi，用手机刷视频、点外卖，或者在电脑上打开网页查资料，只要网络通着，点一下就能打开，退出软件就各自相安无事，整个体验非常平静顺畅。 但… · @realchendahuang · TwKit

@realchendahuang

平时在家里连上 WiFi，用手机刷视频、点外卖，或者在电脑上打开网页查资料，只要网络通着，点一下就能打开，退出软件就各自相安无事，整个体验非常平静顺畅。 但如果顺着网线往外看，真实的公网环境其实远比家里热闹得多。既然整个互联网上到处都是互相连接的设备，为什么我们在家里上网，从来没有被外面陌生的机器莫名其妙地骚扰过？ 答案就在进门处弱电箱里的光猫和无线路由器上。 平时手机连上家里的 WiFi，路由器分配给手机的，是一个以 192.168 开头的局域网内部编号。你在手机上打开一个网页，是你的手机主动向外面的网站服务器发送请求，路由器在中间帮忙转接，把网页数据取回来，再准确送回到你的手机上。 但这个传输过程默认是单向允许的。如果外面有一台陌生的电脑或者探测程序，主动顺着网线向你家发送连接请求，数据包刚走到光猫和路由器的大门口，就会被直接拦截并扔掉，根本进不到你家里的局域网。 普通用户日常感受到的平静，很大程度上是家里的路由器在物理最外层，替设备挡掉了所有来自外部的主动试探。 而一旦脱离了路由器的单向保护，直接把一台设备完完全全暴露在公网上，面对的就是另一番景象了。 在传统的 IPv4 网络体系里，全球总共只有约 42 亿个地址，除去各类保留的内部专用网段，真正能分配给公网设备的地址数量非常有限。 在如今的高速带宽下，配合像 ZMap 或 Masscan 这类专用的网络探测工具，只要几个小时就能把全世界所有公网 IP 的某一个端口挨个探测一遍。 如果有人在云端租了一台独立的服务器，或者给家里的设备申请了独立的公网 IP，并且开启了远程管理的 22 端口，通常一两分钟之内就会在系统日志里看到第一批外部连接。这些连接绝大部分是分布在全球各地的自动化脚本在跑流水线，并非人工在屏幕前挨个操作。 这些程序做的事情很固定：先发几个探测数据包探活，看看这个端口有没有人应答；只要有人应答，紧接着就会调用成千上万条常用密码库挨个撞门。 最容易被试出来的依然是 123456、admin，以及各类路由器固件里出厂自带的默认密码。如果碰巧撞开了，脚本会顺手读取操作系统的版本信息，或者尝试写入程序，把这台新机器也吸纳成它们发包网络的一部分。 这种对全网设备的常态化探测，在行业里甚至早就演变出了公开的搜索引擎。最知名的代表就是 Shodan。Shodan 持续在全球扫描开放的 IP 和端口，把每一台联网设备的服务信息记录成库。 任何人只要在它的搜索框里输入特定的端口号或者设备型号，就能检索出成千上万台直接裸露在外的未授权数据库、工控设备或路由器后台。 另一个更直观的例子是 Insecam 网站。它专门抓取全球那些安装后从未修改过出厂初始密码的网络监控摄像头，直接把世界各地的客厅、办公室或街头商铺的实时画面展示在网页上。 很多设备的主人毫不知情，根本不知道自家装的监控镜头因为带着默认密码暴露在公网，早就被全网的脚本收集并公开展播了。 对于普通用户来说，这种风险最容易发生在什么时候？往往是在大家开始动手折腾一些进阶设备的时候。 比如有人买了家用存储设备 NAS，或者装了网络摄像头，为了出门在外也能用手机查看家里的文件和录像，顺手在路由器后台开启了 DMZ 主机功能，或者把端口直接映射到了公网；又比如有人在云端租了机器做个人项目，嫌麻烦把密码设成很短的常用词，或者安装开源软件时直接沿用了初始的管理账号。 在全网无差别轮询的探测脚本面前，公网上没有所谓的隐秘角落。只要把设备端口无防备地映射出去，短时间内就会有成批的脚本路过并开始尝试连接。 防范这类常规扫描，其实不需要高深复杂的方案，守住三条基础的工程常识就足够挡住绝大部分麻烦： 一是不要轻易向公网暴露端口。如果需要远程访问家里的 NAS 或私人设备，尽量通过 Tailscale、WireGuard 等私有网络工具穿透访问，不要直接在路由器上把内部端口敞开给整个公网。 二是坚决停用弱密码。凡是面向公网的接口，绝不使用出厂默认密码或简单弱密码；管理 Linux 服务器时，最好在开机当天就彻底关闭密码登录，只保留私钥认证。 三是谨慎使用路由器的全端口映射。家用路由器里的 DMZ 功能等于直接把设备推到了最外层，平时尽量保持关闭，避免让内网设备无保护地面对外部流量。 联网设备的安全，依靠的是清晰的边界管理与基本常识。把该关的大门关好，给进出的通道换上坚固的锁，才能在开放的网络环境中用得踏实从容。

曝光 678 · 评论 1 · 点赞 3 · 书签 1