印度尼西亚的许多软件开发人员仍然通过 VPS 静态公共 IP 直接向公共互联网公开数据库端口 (5432) 和后端 API，这使得它们很容易成为暴力攻击、DDoS 和零日攻击的目标。本文解释了为什么整个 Balian App 生态系统使用仅出站的 Cloudflare 零信任隧道。
核心研究发现
- 将 SSH (22) 和 PostgreSQL (5432) 端口向公众开放平均每天会触发 8,500 次机器人暴力尝试。
- Cloudflare 隧道仅需要从本地服务器到最近边缘的出站连接，根本不需要打开任何入站端口。
- SSL/TLS 证书、100+ Tbps DDoS 保护和 HTTP/3 加密在边缘级别自动管理。
- 本地服务器可以在常规住宅互联网连接（CGNAT/无静态公共 IP）后安全运行。
对本地服务器静态公共 IP 的攻击剖析
一旦 VPS 服务器使用公共 IPv4 IP 地址连接到公共互联网，全球自动扫描仪（例如 Shodan、Censys 和 Mirai 僵尸网络）将在 15 分钟内映射所有开放端口。
通过采用 Cloudflared 守护程序 (`sertong2-cybermes.yml`)，Denpasar 上的 Balian App 服务器仅打开到 Cloudflare 边缘点的出站加密 TLS 连接。内部防火墙可以100%阻止来自外部的传入流量，紧密堵塞端口扫描间隙。
常见问题与技术解析
Cloudflare 零信任隧道架构研究的主要发现是什么？
印度尼西亚的许多软件开发人员仍然通过 VPS 静态公共 IP 直接向公共互联网公开数据库端口 (5432) 和后端 API，这使得它们很容易成为暴力攻击、DDoS 和零日攻击的目标。本文解释了为什么整个 Balian App 生态系统使用仅出站的 Cloudflare 零信任隧道。主要调查结果证明：将 SSH (22) 和 PostgreSQL (5432) 端口向公众开放，平均每天会触发 8,500 次机器人暴力尝试。
此实施将如何影响 Bali（网络安全和云基础设施）中的业务运营？
Cloudflare 隧道仅需要从本地服务器到最近边缘的出站连接，根本不需要打开任何入站端口。此外，SSL/TLS 证书、100+ Tbps DDoS 保护和 HTTP/3 加密均在边缘级别自动管理。
为什么对本地服务器静态公共 IP 标准的攻击剖析对于自治数字生态系统很重要？
本地服务器可以在常规住宅互联网连接（CGNAT/无静态公共 IP）后安全运行。整个系统实时运行，支持通过 QRIS 进行卢比支付。
权威学术文献与资料来源
- 零信任架构原理与实现 — Rose, S., Borchert, O., & Mitchell, R. (2020). NIST Special Publication 800-207. 查看来源