核心是“最小权限+纵深防御”，需网络层（限制监听地址、防火墙精确放行）、应用层（反向代理加认证）、身份层（禁用默认账号、专用用户运行、数据库最小权限）三道防线协同。
生产环境的服务器访问控制，核心是“最小权限+纵深防御”，不是只开个防火墙就完事。重点在于网络层、应用层、身份层三道防线协同工作。
限制监听地址，从源头掐断暴露面
很多服务默认绑定 0.0.0.0，等于把门大敞开。必须改成本地回环或指定内网地址。
- iNTERCEPT 类服务：启动时加
-H 127.0.0.1，只允许本机访问 - RustDesk API：修改
conf/config.yaml中gin.api-addr: "127.0.0.1:21114" - Go Web 服务：代码里
http.ListenAndServe("127.0.0.1:8080", nil) - GME 向量服务：FastAPI 启动命令加上
--host 127.0.0.1
用防火墙精确放行，拒绝一切默认
别依赖服务自身做判断，让系统级防火墙先过滤一遍。
- Ubuntu/Debian（ufw）：
sudo ufw default deny incoming sudo ufw allow OpenSSH sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw allow from 192.168.10.0/24 to any port 5050 # 仅允许可信内网访问管理端口 sudo ufw enable
- CentOS/RHEL（firewalld）：
sudo firewall-cmd --permanent --add-service=https sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.5.0/24" port port="21114" protocol="tcp" accept' sudo firewall-cmd --reload
反向代理加认证，给敏感入口上锁
对必须对外暴露的管理界面（如 iNTERCEPT、1Panel），不要直接暴露端口，走 Nginx/Caddy 做一层带认证的代理。
- Nginx 基础认证配置示例：
location /admin/ { auth_basic "Restricted Access"; auth_basic_user_file /etc/nginx/.htpasswd; proxy_pass http://127.0.0.1:5050/; proxy_set_header Host $host; }生成密码文件：
sudo htpasswd -c /etc/nginx/.htpasswd admin
宝塔Linux面板11.3.0下载宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 更进一步：结合 OAuth 或 LDAP（如通过 Authelia），适合多用户企业场景。
权限与账户分离，避免共享凭证
- 禁用默认账号：iNTERCEPT 的
admin:admin、RustDesk 的默认密钥必须第一时间重置 - 使用专用系统用户运行服务：
sudo useradd --system --no-create-home --shell /usr/sbin/nologin gme-svc sudo chown -R gme-svc:gme-svc /opt/gme_vector_service sudo -u gme-svc ./app.py
- 数据库连接用最小权限账号：GME 或 GLPI 连 MySQL 时，不给
DROP、CREATE权限，只授权对应数据库的SELECT, INSERT, UPDATE
不复杂但容易忽略
