| 级别 | 服务器 | 风险项 | 建议 |
|---|---|---|---|
| 高 | bianque-life | MySQL 3306 监听 0.0.0.0 公网暴露 宝塔 MySQL 5.7.44 直接对公网监听,虽有密码但暴露面大 | 在 /www/server/mysql/my.cnf 设置 bind-address=127.0.0.1 并重启,或用安全组仅放行内网;命令:grep bind |
| 高 | bianque-life | 宝塔面板 30752/888 端口公网暴露 BT-Panel 30752 与面板附属 nginx 888 对公网开放,面板是高频攻击目标 | 安全组限制来源 IP,或改绑 127.0.0.1 走 Tailscale 访问;开启面板安全入口 |
| 高 | bianque-life | 内存余量不足 3.6G 内存已用 2.9G,available 755Mi;Dify 13 个容器 + Java IM(-Xmx768M) + app(-Xmx256M) + MySQL 同机 | 为 Java 进程设 -XX:MaxRAMPercentage 或调低堆;考虑把 Dify 迁到独立机器;加 2G swap 兜底(当前未见 swap) |
| 高 | fnos99 | USB ZFS 池 16 个永久数据错误(/vol1) 单盘希捷 Expansion(USB 外置)ZFS 池出现数据损坏:filebrowser.db(2个快照+现网)、豆包工作区 4 个文档(跨 3 个快照)、kaku2025 备份归档 2 个 tar.gz、池元数据 < | 立即迁移:rsync -a /vol1/ /vol2/fnos99_vol1_救援/ 可读文件;zpool status -v 确认可恢复清单;评估换 SATA |
| 高 | fnos99 | vol1 单盘 USB 无冗余且仍在承载业务 /vol1 上还有 vms、@sync、vol3_backup_0913、vol3_live_backup_20260922 等备份目录,备份放在无冗余的坏趋势 USB 盘上等于没备份;36G 使用量小,迁移成本低 | 把 vms 与 vol3 备份目录移到 /vol2 或 pve-fnos /vol2;USB 盘退役改作冷备 |
| 高 | hk-yunmai | x-ui 面板 2096 端口公网暴露 x-ui 管理面板监听 *:2096,若弱密码可被接管全部代理 | 改为仅监听 Tailscale IP(面板设置里改 53080 监听地址已有,2096 建议关闭或加防火墙) |
| 高 | huoshan | MySQL 3306 监听 0.0.0.0 公网暴露 MySQL 8.0.46 bind-address=0.0.0.0,数据库直连公网 | sed 改 bind-address=127.0.0.1 后 systemctl restart mysql;或火山安全组仅放行业务端口 |
| 高 | huoshan | Wildfire 管理端口 18080(admin)/5701(hazelcast)/1883(MQTT) 公网暴露 IM 服务监听 *:18080、*:5701、*:1883、*:8082 | 安全组仅放行 80/443/22/9100(内网),其余端口限 Tailscale 网段 100.64.0.0/10 |
| 高 | kaku2025 | MySQL 3306 监听 *:3306 宝塔 MySQL 存有 40+ 客户站源库(数据已迁 maizihehuo,本机仍留原件) | 下线前限制 3306 为内网;若迁移校验完成可尽早停库减面 |
| 高 | kaku2025 | infra-postgres 5432 公网暴露 docker infra-postgres(postgres 镜像,华为云源)映射 0.0.0.0:5432 | 安全组封禁或改绑 127.0.0.1 |
| 高 | kaku2025 | 下线前迁移完整性风险 本机仍有 InvenTree(双跑未切)、geo pm2(3200 在线)、mai-report、maizi-task、kanban-app、workbench 等活跃服务;PHP 站数据已迁但 DNS/流量切换状态待逐 | 按迁移清单逐项核对:数据一致性→DNS 切换→观察 1 周→停服;尤其 kucun.bianquezhiyin.cn 指向与本机 /etc/hosts |
| 高 | maizihehuo | MySQL 3306 监听 0.0.0.0 公网 宝塔 MySQL(mysqld,58 个业务库)监听 *:3306,若云安全组未限制则全网可连 | 改 /etc/my.cnf bind-address=127.0.0.1 或在云安全组/宝塔防火墙将 3306 限制为内网/VPN 网段(100.64.0.0/ |
| 高 | maizihehuo | PostgreSQL 5432/5433 公网暴露 maizi-pg(pg15, planka 库)与 infra-postgres(pg11, bianque 库)均映射 0.0.0.0 | 安全组限制或改绑 127.0.0.1;planka 经 pm2 本机访问,无需公网 |
| 高 | maizihehuo | 磁盘 84% 接近满 / 仅剩 31G;docker 21G;yimaiwq 13G、rmsrp 4.5G、zksrpx 3.7G、yimaisrp 3.5G 等 PHP 站目录巨大(多为附件) | 对已迁入的 PHP 站做归档压缩迁移到数据盘或对象存储;docker system prune 清理悬空镜像;日志轮转收紧 |
| 高 | maizihehuo | Python 服务公网裸奔 octop-usage :8099(0.0.0.0)、bt-agent-mcp :8766(0.0.0.0)、agent-clone-api :8001(0.0.0.0)、php :9999(0.0.0.0)、next | 全部改绑 127.0.0.1 走 nginx 反代并加鉴权,或安全组封禁 |
| 高 | pve-home | CPU 严重超配导致负载 7.6/8核 VM100 feiniu(6C/9G)+ VM101 deepin25(12C/16G)+ VM102 Win11(8C/16G)+ VM103 deepin25new(4C/3G)+ VM105 旁路由(4C/2G)= | 短期压测排序:qm stop 102(Win11)不忙时关机;中期把 deepin25(VM101)从 12C 降到 6-8C;长期换 12 核以上 CPU 或 |
| 高 | pve-home | VM 数据备份缺失 storage.cfg 定义了 fnos-backup(/mnt/fnos5/pve_backup,keep-last=3),但实际 dump 目录只有 vzdump-qemu-101-2026_09_16 一份月余前的 | 立即补一次全量:vzdump 100 102 103 105 --storage fnos-backup --mode snapshot;再加 cron 每周日 |
| 高 | tx-bianque | 磁盘使用率 84% 仅剩 6.2G,/home(wb-provision 备份等)与 docker 占大头 | 清理:docker system prune -f;删除 /home/ubuntu/wb-provision/config.*.bak 旧备份;journalc |
| 高 | tx-bianque | wecom relay/callback(5000/5001)监听 0.0.0.0 公网 企业微信回调服务直接暴露公网端口,可被扫描调用 | 改绑 127.0.0.1 走 nginx 反代(域名已有 HTTPS),或安全组封 5000/5001 |
| 高 | tx-silicon | MySQL(docker mysql-wfc)3306 公网暴露 docker-proxy 把 mysql:5.7 映射 0.0.0.0:3306,老版本 MySQL 直接暴露公网 | docker compose 改 127.0.0.1:3306:3306 后重启容器;或在 1Panel 防火墙封 3306 |
| 高 | tx-silicon | 9999 端口 python http.server(/tmp/vnc-pkgs)公网开放 临时目录静态服务对外,无认证;/tmp 内容重启丢失 | 停掉该进程,如需保留移至 /var/www 并加 nginx |
| 高 | vm103 | PostgreSQL 5432 监听 0.0.0.0 octop 业务库对内网全接口开放(backlog 200),任何内网设备/被控终端可直连尝试认证;若路由器误做端口映射则暴露公网 | pg_hba/postgresql.conf 改 listen_addresses='127.0.0.1';确需远程走 Tailscale IP 绑定 |
| 高 | yimai-tx | 8000 端口 python http.server 公网开放 python3 -m http.server 8000(cwd=/home/www/tizhi-tea-h5)无认证,可列目录下载文件 | 改绑 127.0.0.1 并用 nginx 反代子路径,或直接停掉(kill 该 http.server 进程后由 nginx 反代子路径承载) |
| 高 | yimai-tx | openclaw-gateway 32463 公网开放 同 tx-bianque 的 OpenClaw 网关,0.0.0.0:32463 + 127.0.0.1:32465,公网可直连 | 安全组封 32463,仅留 nginx/内网访问 |
| 中 | bianque-life | Wildfire IM 管理类端口公网暴露 18080(admin API)、5701(hazelcast)、8081、1883(MQTT) 均监听 * | 安全组只放行 80/443/3478/51820,其余 18080/5701/8081/1883/8888 限内网 |
| 中 | bianque-life | 核心数据库无自动备份证据 宝塔计划任务约 40 个,多为 URL 访问;未见对 MySQL(wildfirechat/appdata)与 Dify Postgres 的定时 dump | 增加每日 mysqldump + pg_dump 到 /www/backup 并异地同步;示例:0 3 * * * mysqldump -uroot -p$PW |
| 中 | bianque-life | 3001/6001 Node 进程以 sudo nohup 手工拉起 bianque-admin 与 salary 后台非 systemd 托管,重启后不会自启,依赖人为 nohup | 参考 yimai-tx 的 salary.service 写两个 unit 文件,纳入 systemd |
| 中 | bianque-life | 磁盘 79% 且存在大量历史备份 /www/wwwroot 下多个 .bak 目录(如 video-prompt-generator.bak.20261010)、index.html 6 个版本、fnos64-backup 等 | 归档清理旧 bak;docker image prune -f 回收悬空镜像 |
| 中 | fnos99 | 备份的备份已损坏(kaku2025 整机备份) fnos99 /vol1 存放的 kaku2025 服务器整机备份(2026-09-30)中 la.maiyou.vip.tar.gz、ymsxy.maiyou.co.tar.gz 已损坏,恰逢源服务器迁移期,归档完整性 | 用 tar -tzf 逐一校验归档;完整归档重传一份到 pve-fnos /vol2/服务器档案 |
| 中 | fnos99 | 内存 81% 11G 用 8.9G:飞牛全家桶 + PostgreSQL + Redis + MySQL + Docker(4容器)同机,余 2.5G | 清理Exited容器(docker rm trae-suite-trae);为知笔记闲置可停;zfs_arc_max 调小给应用让内存 |
| 中 | fnos99 | /vol2 76% 满 1.9T 用 1.4T,剩余 448G;若承接 /vol1 迁移数据(vms 等)会更紧 | 迁移前先清理:docker system prune -v;mediasrv.transcode 缓存清理 |
| 中 | hk-yunmai | frps 7000/6001 端口公网暴露 frp 服务端 token 保护,但 6001(VNC 通道)对外;frps 管理面板 7500 仅本机且弱口令风险(凭据在 /etc/frp/frps.toml) | 安全组限制 7000 仅内网机出口 IP;修改 frps.toml 管理口令;VNC 走 Tailscale |
| 中 | hk-yunmai | 内存余量小 960Mi 总内存,可用 288Mi,octop 实例常驻 | octop 备用实例可降频或停掉仅保留备份;监控 swap |
| 中 | hk-yunmai | rustdesk hbbs/hbbr 已停止 角色定位含 RustDesk,但容器两周前退出,远程桌面中继实际不可用 | 确认是否弃用;继续用则 docker start hbbs hbbr,弃用则删除容器释放空间 |
| 中 | huoshan | 无任何备份证据 未见 mysqldump/快照计划,IM 聊天与用户数据仅此一份 | 加 cron 每日 mysqldump wildfirechat 到本机+异地;火山云开启磁盘快照策略 |
| 中 | huoshan | node_exporter 9100 公网暴露 docker node-exporter 0.0.0.0:9100 | 改 127.0.0.1:9100:9100 |
| 中 | immortalwrt | 根分区 66% 且无配置备份 290M 根分区剩 96M;/etc/config(网络/防火墙/homeproxy/tailscale 全套配置)从未导出,VM 盘损坏或误升级后需从零重建旁路由 | 定期导出:tar -czf /mnt/sda1/wrt-conf-$(date +\%m\%d).tar.gz /etc/config /etc/homepro |
| 中 | immortalwrt | 依赖宿主机重启窗口 作为 pve-home VM105,宿主机重启(load 7.6 高负载/维护)时全家族科学上网出口与 mesh 节点同时中断 | PVE 设置 VM105 开机自启(order=1);宿主机维护选低峰并提前公告 |
| 中 | kaku2025 | n9e/grafana/prometheus 公网暴露 夜莺 *:17000(web)与 *:20090、grafana *:3000、prometheus 9090、node-exporter 9100 均 0.0.0.0/* | 限内网/VPN;maizihehuo 已有同款监控栈,下线前确认告警规则已迁 |
| 中 | kaku2025 | uptime 369 天 + 旧内核 6.1.0-10-amd64,Debian 12 早期版本,未打过补丁重启 | 反正即将下线,不建议升级;确保不再承载新业务,公网面收窄 |