## 概念是什么
内网穿透工具把内网服务映射到公网，方便远程访问，也让失陷主机有了隐蔽外连的通道。多数团队的防护习惯是管住入站：封端口、关服务、加防火墙。而攻击者拿到主机后第一件事往往是建立出站连接，用隧道工具把内网资源反向暴露出去，绕过全部入站防护。
## 背后原理
反向隧道的建立只需要主机能访问公网。攻击者在公网准备一个服务端，失陷主机主动连出去注册，此后外部流量经公网服务端转发进入内网。整个过程没有新的入站连接，边界防火墙的入站规则形同虚设。隧道流量藏在高频协议里时，识别难度更大。这说明安全边界不能只画在入站方向，出站同样是攻击面。
## 最小实操
三层动作起步。其一，出站白名单：服务器默认拒绝所有出站，仅放行业务必需的目标，例如更新源、外部接口、域名解析，用防火墙规则落地。其二，管控工具：确需穿透工具的，指定唯一授权工具与账号，使用时段与范围报备，其余一律视为违规。其三，流量观测：对出站连接做记录与告警，异常的外连目标与长连接第一时间暴露。顺云防火墙规则可以同时管理入站与出站两个方向。
## 常见错误
只防入站不管出站，主机失陷后毫无察觉。为图方便全员开放穿透工具，边界彻底失守。发现异常隧道后只杀进程不清凭证，攻击者换个通道再来。出站治理的本质是把每台服务器的对外连接都变成可解释的行为。推行出站白名单会遇到现实阻力，业务方总有临时外连的需要，解决办法是留一条受控的申请通道：谁申请、去哪里、到何时，审批后临时放行并到期自动回收。这样既不耽误业务，也让每一条出站流量都有出处，治理与效率可以兼得。