内网隧道怎么防：从代码到配置的四层

隧道流量在网关看来只是一条长连接，可用的特征只有字节数与持续时长，包内容看不到

四层防御的思路是：每层都不完美，但绕过的代价逐层上升。

先说结论

校验在入口，收敛在危险点，兜底在权限，发现靠监控。四层缺一不可。

• 第一层：白名单校验 + 类型转换
• 第二层：危险点收敛成统一封装
• 第三层：最小权限 + 沙箱
• 第四层：日志与告警，能发现异常
• 演练：定期用无害方式验证防御有效

四层分别挡什么

隧道流量在网关看来只是一条长连接，可用的特征只有字节数与持续时长，包内容看不到。

第一层：输入

跳板机的转发规则要按源、目标、端口三元组登记，出现越权组合就告警，这是最有效的一层。

白名单优于黑名单，因为黑名单永远漏。

第二层：危险点

多级跳会让溯源变难，测试记录里必须写清每一跳落在哪台机器上。

把「拼接」「解析」「执行」这三类操作收敛到少数几个函数里，审计面积会小一个数量级。

这个问题的几个防御事实

落到具体实现时，这几条最容易被忽略：

• SOCKS5 代理本身不做身份鉴别，任何能连上这个端口的人都可以借道，来源与口令都不校验
• 多级跳会让溯源变难，测试记录里必须写清每一跳落在哪台机器上

第三层与第四层

权限这层的价值在于「降低成功后的收益」，而不是阻止成功。

监控这层，多数入侵是被日志抓到的，不是被 WAF 挡住的。

再补充几点

这几条不改变结论，但会改变你评估风险时的顺序。

• SSH 的 -L 与 -R 方向相反，参数配反会变成把内网端口主动暴露到公网
• 收工后要回收隧道与临时账号，遗留的转发规则是最常见的一种后门
• 把 -R 绑到 0.0.0.0，内网端口直接对公网开放
• 隧道建完不做记录，事后自己也说不清走过哪条路
• 用生产跳板机做测试中转，把业务日志污染了

防御的目标不是零漏洞，是让利用变得又贵又吵。