新机器上线后的公网噪声
一台刚暴露在公网的服务器，在真正有访客之前，通常会先迎来扫描器。我们把前几小时的构成记下来，作为防护策略的参照，而不是凭感觉加规则。
常见构成
- SSH 口令尝试：集中在 22 端口，来源分散，短时间多次失败。
- HTTP 路径探测：寻找
/.env、/wp-login.php、管理面板等。 - 非常用端口探测：对未监听端口的 SYN，防火墙计数会上升。
应对原则：只开放必要端口；SSH 用密钥并限制速率；Web 只提供真实内容，对未知路径返回统一 404。
本站做法
启用 nftables 默认丢弃、开放 22/80/443，配合 fail2ban；Web 访问日志使用可分析的组合格式，并用 vnstat 观察带宽基线。