用途：审计一台运行中的 Linux 主机的网络边界（或其配置即代码），按八个优先级领域定位暴露问题。所有检查命令均为只读，变更命令仅在批准后出现在修复环节；优先采用生效状态证据（如 ss -tlnp、nft list ruleset），而非磁盘配置文件。需要 root 的命令标记为 [ROOT]，无 root 时可审计全局可读状态并依据签名判断渲染后的配置。
主要能力：1）暴露面盘点：将每个 TCP/UDP 监听映射到绑定地址、服务、用户，区分互联网可达、仅回环、仅链路本地，标记应为回环的通配绑定（0.0.0.0 / [::]）。2）防火墙状态：判断 nftables / iptables / ufw / firewalld 中哪个实际生效（或均未生效）、默认策略与各链规则密度。3）默认拒绝设计：入站 drop 加显式允许、限速丢弃日志。4）出站过滤：为防 SSRF 外泄、反弹 shell 与数据窃取提供出站控制与仅记录日志的分阶段上线。5）IPv6 对等：v6 过滤至少与 v4 同样严格，并放行 NDP/RA。6）L4 限速与暴力破解防护：防火墙连接/速率计量加 fail2ban jail。7）管理面隔离：SSH、数据库管理、监控代理仅可从 VPN/堡垒机 CIDR 访问，并提供防锁死的变更流程。8）层间交互：Docker DNAT 绕过 INPUT 规则、云安全组与主机防火墙的双重暴露或虚假安全感。
必要用法：以只读命令收集证据后，将 ss -tlnp / ss -ulnp 每行归入绑定地址:端口 → 进程名 → 所属 UID → 分类。暴露扫描示例：ss -tlnp；ss -ulnp；通配绑定筛查用 awk 匹配 ^0.0.0.0:、^[::]:、^*:；防火墙后端检测遍历 systemctl is-active nftables ufw firewalld iptables netfilter-persistent，并执行 nft list tables、iptables -V、ufw status verbose、firewall-cmd --state；策略与规则数用 iptables -S | grep '^-P' 与 iptables -S INPUT | grep -c '^-A'；IPv6 对等比较 ip6tables 策略与规则数，并检查是否存在 inet/ip6 nft 表；Docker 部分查看 iptables -t nat -S DOCKER 与 iptables -S DOCKER-USER。云安全组无法从主机直接看到，需读取配置即代码（Terraform 安全组块等）并构建端口矩阵：SG 状态 × 主机防火墙状态 × 绑定。
适用场景与限制：适用于单台 Linux 主机或其配置即代码的边界审计，覆盖 Debian/Ubuntu 偏 ufw+nftables、RHEL/Fedora 偏 firewalld、Alpine 无管理器等情况。内核 sysctl（SYN cookies、conntrack 限制）、TLS 终止与代理头、容器运行时沙箱、日志投递不在范围内，分别交由其他模块。外部探测（从主机外连接服务）需书面授权并指明源主机与目标范围，否则仅依据主机内证据。未提供具体价格、平台支持范围或效果承诺。