| 级别 | 服务器 | 风险项 | 详情 | 建议 |
|---|
| 高 | bianque-life | MySQL 3306 监听 0.0.0.0 公网暴露 | 宝塔 MySQL 5.7.44 直接对公网监听,虽有密码但暴露面大 | 在 /www/server/mysql/my.cnf 设置 bind-address=127.0.0.1 并重启,或用安全组仅放行内网;命令:grep bind-address /www/server/mysql/my.cnf |
| 高 | bianque-life | 宝塔面板 30752/888 端口公网暴露 | BT-Panel 30752 与面板附属 nginx 888 对公网开放,面板是高频攻击目标 | 安全组限制来源 IP,或改绑 127.0.0.1 走 Tailscale 访问;开启面板安全入口 |
| 高 | bianque-life | 内存余量不足 | 3.6G 内存已用 2.9G,available 755Mi;Dify 13 个容器 + Java IM(-Xmx768M) + app(-Xmx256M) + MySQL 同机 | 为 Java 进程设 -XX:MaxRAMPercentage 或调低堆;考虑把 Dify 迁到独立机器;加 2G swap 兜底(当前未见 swap) |
| 高 | fnos99 | USB ZFS 池 16 个永久数据错误(/vol1) | 单盘希捷 Expansion(USB 外置)ZFS 池出现数据损坏:filebrowser.db(2个快照+现网)、豆包工作区 4 个文档(跨 3 个快照)、kaku2025 备份归档 2 个 tar.gz、池元数据 <0x0>;USB 供电/休眠是典型诱因,错误已跨快照扩散,部分文件可能已不可恢复 | 立即迁移:rsync -a /vol1/ /vol2/fnos99_vol1_救援/ 可读文件;zpool status -v 确认可恢复清单;评估换 SATA 盘位重建池;短期停止向 /vol1 写入新数据 |
| 高 | fnos99 | vol1 单盘 USB 无冗余且仍在承载业务 | /vol1 上还有 vms、@sync、vol3_backup_0913、vol3_live_backup_20260922 等备份目录,备份放在无冗余的坏趋势 USB 盘上等于没备份;36G 使用量小,迁移成本低 | 把 vms 与 vol3 备份目录移到 /vol2 或 pve-fnos /vol2;USB 盘退役改作冷备 |
| 高 | hk-yunmai | x-ui 面板 2096 端口公网暴露 | x-ui 管理面板监听 *:2096,若弱密码可被接管全部代理 | 改为仅监听 Tailscale IP(面板设置里改 53080 监听地址已有,2096 建议关闭或加防火墙) |
| 高 | huoshan | MySQL 3306 监听 0.0.0.0 公网暴露 | MySQL 8.0.46 bind-address=0.0.0.0,数据库直连公网 | sed 改 bind-address=127.0.0.1 后 systemctl restart mysql;或火山安全组仅放行业务端口 |
| 高 | huoshan | Wildfire 管理端口 18080(admin)/5701(hazelcast)/1883(MQTT) 公网暴露 | IM 服务监听 *:18080、*:5701、*:1883、*:8082 | 安全组仅放行 80/443/22/9100(内网),其余端口限 Tailscale 网段 100.64.0.0/10 |
| 高 | kaku2025 | MySQL 3306 监听 *:3306 | 宝塔 MySQL 存有 40+ 客户站源库(数据已迁 maizihehuo,本机仍留原件) | 下线前限制 3306 为内网;若迁移校验完成可尽早停库减面 |
| 高 | kaku2025 | infra-postgres 5432 公网暴露 | docker infra-postgres(postgres 镜像,华为云源)映射 0.0.0.0:5432 | 安全组封禁或改绑 127.0.0.1 |
| 高 | kaku2025 | 下线前迁移完整性风险 | 本机仍有 InvenTree(双跑未切)、geo pm2(3200 在线)、mai-report、maizi-task、kanban-app、workbench 等活跃服务;PHP 站数据已迁但 DNS/流量切换状态待逐项确认 | 按迁移清单逐项核对:数据一致性→DNS 切换→观察 1 周→停服;尤其 kucun.bianquezhiyin.cn 指向与本机 /etc/hosts |
| 高 | maizihehuo | MySQL 3306 监听 0.0.0.0 公网 | 宝塔 MySQL(mysqld,58 个业务库)监听 *:3306,若云安全组未限制则全网可连 | 改 /etc/my.cnf bind-address=127.0.0.1 或在云安全组/宝塔防火墙将 3306 限制为内网/VPN 网段(100.64.0.0/10) |
| 高 | maizihehuo | PostgreSQL 5432/5433 公网暴露 | maizi-pg(pg15, planka 库)与 infra-postgres(pg11, bianque 库)均映射 0.0.0.0 | 安全组限制或改绑 127.0.0.1;planka 经 pm2 本机访问,无需公网 |
| 高 | maizihehuo | 磁盘 84% 接近满 | / 仅剩 31G;docker 21G;yimaiwq 13G、rmsrp 4.5G、zksrpx 3.7G、yimaisrp 3.5G 等 PHP 站目录巨大(多为附件) | 对已迁入的 PHP 站做归档压缩迁移到数据盘或对象存储;docker system prune 清理悬空镜像;日志轮转收紧 |
| 高 | maizihehuo | Python 服务公网裸奔 | octop-usage :8099(0.0.0.0)、bt-agent-mcp :8766(0.0.0.0)、agent-clone-api :8001(0.0.0.0)、php :9999(0.0.0.0)、next shezhen-app :52001(*) 无前置鉴权层直接暴露 | 全部改绑 127.0.0.1 走 nginx 反代并加鉴权,或安全组封禁 |
| 高 | pve-home | CPU 严重超配导致负载 7.6/8核 | VM100 feiniu(6C/9G)+ VM101 deepin25(12C/16G)+ VM102 Win11(8C/16G)+ VM103 deepin25new(4C/3G)+ VM105 旁路由(4C/2G)= 34 vCPU 挤 8 物理核;deepin25 与 feiniu 长期 130-145% CPU,峰值 load 7.6 已接近 8 核饱和 | 短期压测排序:qm stop 102(Win11)不忙时关机;中期把 deepin25(VM101)从 12C 降到 6-8C;长期换 12 核以上 CPU 或把 Win11 迁出 |
| 高 | pve-home | VM 数据备份缺失 | storage.cfg 定义了 fnos-backup(/mnt/fnos5/pve_backup,keep-last=3),但实际 dump 目录只有 vzdump-qemu-101-2026_09_16 一份月余前的备份;feiniu(100)/Win11(102)/deepin25new(103)/旁路由(105)均无备份;NAS 数据本身在 /vol2 有快照,但 VM 系统盘坏了只能重装 | 立即补一次全量:vzdump 100 102 103 105 --storage fnos-backup --mode snapshot;再加 cron 每周日滚动备份 |
| 高 | tx-bianque | 磁盘使用率 84% | 仅剩 6.2G,/home(wb-provision 备份等)与 docker 占大头 | 清理:docker system prune -f;删除 /home/ubuntu/wb-provision/config.*.bak 旧备份;journalctl --vacuum-size=200M |
| 高 | tx-bianque | wecom relay/callback(5000/5001)监听 0.0.0.0 公网 | 企业微信回调服务直接暴露公网端口,可被扫描调用 | 改绑 127.0.0.1 走 nginx 反代(域名已有 HTTPS),或安全组封 5000/5001 |
| 高 | tx-silicon | MySQL(docker mysql-wfc)3306 公网暴露 | docker-proxy 把 mysql:5.7 映射 0.0.0.0:3306,老版本 MySQL 直接暴露公网 | docker compose 改 127.0.0.1:3306:3306 后重启容器;或在 1Panel 防火墙封 3306 |
| 高 | tx-silicon | 9999 端口 python http.server(/tmp/vnc-pkgs)公网开放 | 临时目录静态服务对外,无认证;/tmp 内容重启丢失 | 停掉该进程,如需保留移至 /var/www 并加 nginx |
| 高 | vm103 | PostgreSQL 5432 监听 0.0.0.0 | octop 业务库对内网全接口开放(backlog 200),任何内网设备/被控终端可直连尝试认证;若路由器误做端口映射则暴露公网 | pg_hba/postgresql.conf 改 listen_addresses='127.0.0.1';确需远程走 Tailscale IP 绑定 |
| 高 | yimai-tx | 8000 端口 python http.server 公网开放 | python3 -m http.server 8000(cwd=/home/www/tizhi-tea-h5)无认证,可列目录下载文件 | 改绑 127.0.0.1 并用 nginx 反代子路径,或直接停掉(kill 该 http.server 进程后由 nginx 反代子路径承载) |
| 高 | yimai-tx | openclaw-gateway 32463 公网开放 | 同 tx-bianque 的 OpenClaw 网关,0.0.0.0:32463 + 127.0.0.1:32465,公网可直连 | 安全组封 32463,仅留 nginx/内网访问 |
| 中 | bianque-life | Wildfire IM 管理类端口公网暴露 | 18080(admin API)、5701(hazelcast)、8081、1883(MQTT) 均监听 * | 安全组只放行 80/443/3478/51820,其余 18080/5701/8081/1883/8888 限内网 |
| 中 | bianque-life | 核心数据库无自动备份证据 | 宝塔计划任务约 40 个,多为 URL 访问;未见对 MySQL(wildfirechat/appdata)与 Dify Postgres 的定时 dump | 增加每日 mysqldump + pg_dump 到 /www/backup 并异地同步;示例:0 3 * * * mysqldump -uroot -p$PW --all-databases | gzip > /www/backup/mysql-$(date +\%F).sql.gz |
| 中 | bianque-life | 3001/6001 Node 进程以 sudo nohup 手工拉起 | bianque-admin 与 salary 后台非 systemd 托管,重启后不会自启,依赖人为 nohup | 参考 yimai-tx 的 salary.service 写两个 unit 文件,纳入 systemd |
| 中 | bianque-life | 磁盘 79% 且存在大量历史备份 | /www/wwwroot 下多个 .bak 目录(如 video-prompt-generator.bak.20261010)、index.html 6 个版本、fnos64-backup 等 | 归档清理旧 bak;docker image prune -f 回收悬空镜像 |
| 中 | fnos99 | 备份的备份已损坏(kaku2025 整机备份) | fnos99 /vol1 存放的 kaku2025 服务器整机备份(2026-09-30)中 la.maiyou.vip.tar.gz、ymsxy.maiyou.co.tar.gz 已损坏,恰逢源服务器迁移期,归档完整性存疑 | 用 tar -tzf 逐一校验归档;完整归档重传一份到 pve-fnos /vol2/服务器档案 |
| 中 | fnos99 | 内存 81% | 11G 用 8.9G:飞牛全家桶 + PostgreSQL + Redis + MySQL + Docker(4容器)同机,余 2.5G | 清理Exited容器(docker rm trae-suite-trae);为知笔记闲置可停;zfs_arc_max 调小给应用让内存 |
| 中 | fnos99 | /vol2 76% 满 | 1.9T 用 1.4T,剩余 448G;若承接 /vol1 迁移数据(vms 等)会更紧 | 迁移前先清理:docker system prune -v;mediasrv.transcode 缓存清理 |
| 中 | hk-yunmai | frps 7000/6001 端口公网暴露 | frp 服务端 token 保护,但 6001(VNC 通道)对外;frps 管理面板 7500 仅本机且弱口令风险(凭据在 /etc/frp/frps.toml) | 安全组限制 7000 仅内网机出口 IP;修改 frps.toml 管理口令;VNC 走 Tailscale |
| 中 | hk-yunmai | 内存余量小 | 960Mi 总内存,可用 288Mi,octop 实例常驻 | octop 备用实例可降频或停掉仅保留备份;监控 swap |
| 中 | hk-yunmai | rustdesk hbbs/hbbr 已停止 | 角色定位含 RustDesk,但容器两周前退出,远程桌面中继实际不可用 | 确认是否弃用;继续用则 docker start hbbs hbbr,弃用则删除容器释放空间 |
| 中 | huoshan | 无任何备份证据 | 未见 mysqldump/快照计划,IM 聊天与用户数据仅此一份 | 加 cron 每日 mysqldump wildfirechat 到本机+异地;火山云开启磁盘快照策略 |
| 中 | huoshan | node_exporter 9100 公网暴露 | docker node-exporter 0.0.0.0:9100 | 改 127.0.0.1:9100:9100 |
| 中 | immortalwrt | 根分区 66% 且无配置备份 | 290M 根分区剩 96M;/etc/config(网络/防火墙/homeproxy/tailscale 全套配置)从未导出,VM 盘损坏或误升级后需从零重建旁路由 | 定期导出:tar -czf /mnt/sda1/wrt-conf-$(date +\%m\%d).tar.gz /etc/config /etc/homeproxy(放 /boot 分区或推到 NAS);sysupgrade 前必做 |
| 中 | immortalwrt | 依赖宿主机重启窗口 | 作为 pve-home VM105,宿主机重启(load 7.6 高负载/维护)时全家族科学上网出口与 mesh 节点同时中断 | PVE 设置 VM105 开机自启(order=1);宿主机维护选低峰并提前公告 |
| 中 | kaku2025 | n9e/grafana/prometheus 公网暴露 | 夜莺 *:17000(web)与 *:20090、grafana *:3000、prometheus 9090、node-exporter 9100 均 0.0.0.0/* | 限内网/VPN;maizihehuo 已有同款监控栈,下线前确认告警规则已迁 |
| 中 | kaku2025 | uptime 369 天 + 旧内核 | 6.1.0-10-amd64,Debian 12 早期版本,未打过补丁重启 | 反正即将下线,不建议升级;确保不再承载新业务,公网面收窄 |
| 中 | kaku2025 | 宝塔面板 33434 公网 | BT-Panel 0.0.0.0:33434 | 限定白名单 IP 或仅 VPN 访问 |
| 中 | kaku2025 | php :9999 与 node :3200 公网直连 | php(多进程)监听 0.0.0.0:9999,geo pm2 监听 0.0.0.0:3200,可绕过 nginx/WAF 直访 | 改绑 127.0.0.1 |
| 中 | kaku2025 | systemd unit 内明文凭据 | /etc/systemd/system/ 下 maizi-task.service、server-workbench.service、server-agent 的 Environment= 含 JWT 秘钥/DB 密码/Agent Token(仅记位置,未抄录) | 改 EnvironmentFile 指向 600 权限文件 |
| 中 | kaku2025 | 归档 SSH 私钥目录 | /opt/ssh_keys_archived_20260908/ 存有多台服务器私钥(id_ed25519_kaku2025、fnos_yunmai 等) | 迁移后销毁或转移至密码管理器/加密存储,并确认对应公钥已从各机撤销 |
| 中 | maizihehuo | Swap 已用 4.4G | 内存长期超卖,java(野火IM)+ docker + pm2 多进程叠加 | 排查内存大户(野火IM -Xmx512M 已限,检查 wf-im-byc jvm 参数);必要时升配或迁移部分服务 |
| 中 | maizihehuo | 监控组件公网暴露 | grafana :3000、prometheus :9090、node-exporter :9100 均 0.0.0.0 | 限内网/VPN 访问,grafana 改强密码 |
| 中 | maizihehuo | RustDesk 21114-21119 公网 | 远程桌面中继端口全网开放(功能需要,但应知晓) | 限制来源 IP 为办公网/VPN 网段 |
| 中 | maizihehuo | 宝塔面板端口 29268 公网 | BT-Panel 监听 0.0.0.0:29268 | 宝塔面板设置限定 IP 白名单或仅 VPN 访问;确认面板已开二次验证 |
| 中 | maizihehuo | 多个服务存在明文凭据文件 | /www/wwwroot/server-handoff-2026-09-07.md 含服务器密码;/www/wwwroot/ymgeo/.env 含数据库密码;systemd unit(maizi-task 等)Environment 含 JWT/DB 密码;/www/wwwroot/tuike/docker-compose.yml 含 MySQL 密码(仅记位置,未抄录) | 交接文档移出 wwwroot 并 chmod 600;敏感 unit 用 EnvironmentFile 加权限;.env 收紧权限 600 |
| 中 | maizihehuo | geo pm2 进程重启 193 次 | /www/wwwroot/geo geo-system 0.2.0,近 55 分钟内仍在重启循环边缘 | 查 pm2 logs geo 定位崩溃原因,补内存/异常捕获 |
| 中 | pve-fnos | vol00/QEMU_HARDDISK 94% 满 | 101G 直通盘已用 94G(另两分区 QEMU_HARDDISK_1/2 使用 2%/1%),是旧 Windows 数据残留,盘满会影响该盘读写 | 确认无用后清理:du -sh /vol00/QEMU_HARDDISK/* | sort -h | tail;或整盘归档到 /vol2 |
| 中 | pve-fnos | Photos 卷(vol5)单点风险 | 6.9T 全家族照片在飞牛 trimafs 卷上;PVE 的 fnos-backup 备份存储也指向同一 NAS 的 /mnt/fnos5/pve_backup,备份与照片同盘阵,无异地副本 | 对 /vol5 建立到 /vol2(14% 空)或 fnos99 的定期 rsync;重要照片再冷备到移动盘 |
| 中 | pve-fnos | 运维权限受限 | yunmai 用户 sudo 需密码、无 docker 组,zpool/docker/系统配置无法只读巡检,自动化监控盲区 | 飞牛后台给 yunmai 开免密 sudo(仅限 zpool status/docker ps 等只读命令)或建监控专用账号 |
| 中 | pve-home | 本地备份盘与宿主机同机 | /mnt/pve/backup(/dev/sdc)虽仅用 4%,但和宿主机同物理机,宿主机电源/主板故障时配置与备份同灭 | 保持 fnos-backup(NFS 到飞牛)为主要备份目的地,本地 sdc 只做快速恢复层 |
| 中 | pve-home | 根分区 63% | pve-root 68G 已用 41G,含 /var/lib/vz 与日志,增长后会影响 PVE 更新 | journalctl --vacuum-size=500M;apt clean;定期 du /var/log 排查 |
| 中 | pve-home | PVE Web 面板内网暴露面较大 | 8006 经 nginx 绑定 192.168.1.64 反代到 127.0.0.1:8006,内网任意设备可达;SSH 22 对 0.0.0.0 且 root 直连(有 fail2ban 缓解) | 8006/22 用 PVE 防火墙(datacenter firewall)限制来源网段;root 登录改 key-only |
| 中 | tx-bianque | 宝塔面板 28803 公网暴露 | BT-Panel 监听 0.0.0.0:28803 | 安全组限制来源;开启面板安全入口+二次验证 |
| 中 | tx-bianque | node_exporter 9100 公网暴露 | docker node-exporter 映射 0.0.0.0:9100,指标信息公开可读 | 改为 127.0.0.1:9100:9100 映射,经 Tailscale 抓取 |
| 中 | tx-bianque | cases.db 无异地备份 | 案例平台 SQLite(/home/ubuntu/case-platform/cases.db)仅 provision_backup 覆盖部分目录(待确认范围) | 把 /home/ubuntu/case-platform 加入 provision_backup.py 清单或独立 cron tar 备份 |
| 中 | tx-silicon | 1Panel 面板 8090 公网暴露 | 面板直接对外 | 1Panel 设置改绑 Tailscale IP 或安全组限源 |
| 中 | tx-silicon | IM 管理端口公网暴露(18080/5701/1883) | 与 huoshan 同样的 Wildfire 端口布局,*: 全网卡 | 安全组仅放行 80/443/22,IM 内部端口限内网 |
| 中 | tx-silicon | IM 数据无自动备份 | 仅 2026-08-09 手工备份目录一次 | cron 每日 docker exec mysql-wfc mysqldump wildfirechat | gzip 备份并异地同步 |
| 中 | vm103 | /persistent 74% 满且 octop-data 无本地滚动备份 | 51G 用 35G 剩 13G;octop-data 只有 10/02 的手工旧备份,浏览器配置/日志/记忆文件日增后无自动清理 | 加 cron 每周日 tar 备份 octop-data 保留 4 份,并 find /opt/octop-data/logs -mtime +14 -delete 清理日志 |
| 中 | vm103 | PostgreSQL octop 库无备份 | OCtop 文件目录有 HK 备份,但数据库(pg_dump)无任何备份记录,库损坏时 agent 记忆/配置丢失 | cron 每日:pg_dump -U octop octop | gzip > /persistent/pg-octop-$(date +\%F).sql.gz,保留 7 份 |
| 中 | workbuddy-host | VNC 5900 监听 0.0.0.0 且经 frp 转发到 HK 公网 | x11vnc 绑定 0.0.0.0:5900(内网任意设备可连),同时 frpc-vm101 把 5900 经 frp 转发到 HK:6001,再由 hk-yunmai 的 novnc-vm101(websockify)提供网页访问;链路长,任一环节弱口令即整机失守 | x11vnc 改绑 127.0.0.1 或加 -localhost 与强密码;frp 通道确认 stcp/加密模式;不用时 systemctl --user stop frpc-vm101 |
| 中 | workbuddy-host | /persistent 承载层 69% | Deepin 的 /usr /opt /etc overlay 均落在 /dev/sda5(70G 用 48G),WorkBuddy+CherryStudio 等应用继续膨胀会逼近上限 | du -sh /persistent/* | sort -h | tail 排查大项;清理 /opt/apps 旧版本缓存 |
| 中 | workbuddy-host | WorkBuddy 数据与技能配置无备份 | ~/.workbuddy(app 数据、edge-sync-mapping-v4.db、20+ skills、connectors)无任何定时备份;VM 系统盘在 PVE 侧也仅有一份 2026-09-16 的旧备份 | 加 cron:tar -czf /persistent/wb-backup-$(date +\%F).tar.gz ~/.workbuddy --exclude cache,保留 7 份 |
| 中 | yimai-tx | 双面板公网暴露(宝塔 42438、1Panel 34684) | 两个服务器面板同时对外,攻击面大 | 保留一个,另一个改绑内网/限源 IP;确认 1panel 是否仍在使用 |
| 中 | yimai-tx | 3003 新版后台监听 *: 全网卡 | bianque-admin/server-new(nohup node index.js)未走 nginx 直连公网 | 改 PORT 绑 127.0.0.1 或安全组封 3003,由 nginx /api/ 反代 |
| 中 | yimai-tx | 官网数据无定时备份 | bianque-admin data.json(lowdb)与 salary db.json 均无自动备份,仅 2026-08-16 手工 salary_bak | 加 cron:0 3 * * * tar -czf /www/backup/web-$(date +\%F).tgz /www/wwwroot/bianque-admin /www/wwwroot/salary/data |
| 中 | yimai-tx | node_exporter 9100 公网暴露 | docker node-exporter 0.0.0.0:9100 | 改 127.0.0.1 映射 |
| 低 | bianque-life | exim4 本地邮件服务冗余 | 仅监听 127.0.0.1:25,基本无用 | systemctl disable --now exim4 |
| 低 | bianque-life | 多版本 php-fpm(71-82)并存 | 宝塔历史遗留,均无活跃站点引用 | 确认后停用未用版本释放内存 |
| 低 | fnos99 | 遗留容器与隧道较多 | trae-suite-trae Exited 6 周;frpc/frpc-bianque/ssh-tunnel-agent/ssh-tunnel-fuzai1/keep-tunnel-hk 多条隧道并存,失效未清 | 逐条验证隧道用途,弃用的 systemctl disable --now |
| 低 | hk-yunmai | OSX-KVM 目录残留 | /opt/OSX-KVM 含 macOS 安装器(约数 GB),当前无虚拟机在跑 | 确认后归档/删除 |
| 低 | hk-yunmai | haproxy 分流依赖 SNI | dl.google.com SNI 伪装转发 xray,属翻墙分流设计,注意合规 | — |
| 低 | huoshan | proxima 用途待确认 | /opt/proxima 二进制常驻(systemd proxima.service),火山云组件(疑为加速/拨测) | 与老板确认后决定去留 |
| 低 | huoshan | app-server 8082 直接公网 | Wildfire app-server(8082)对公网开放,正常应走 nginx 80 | 安全组封 8082 |
| 低 | immortalwrt | 管理 UI 仅 HTTP | uhttpd 80 端口明文 LuCI 界面,内网可抓包看密码;dropbear 22 对 0.0.0.0 | uhttpd 开 HTTPS 或限源 IP;内网信任环境可接受(标待确认) |
| 低 | immortalwrt | homeproxy 节点配置无版本管理 | 代理订阅/节点更迭依赖手工,失效后排查靠登机看日志 | 把 /etc/homeproxy/config 纳入上面的 tar 备份;记录当前订阅来源到知识库 |
| 低 | kaku2025 | 残留 Exited 容器 | beautiful_mirzakhani/eager_sanderson/zen_napier 3 天前退出 | docker rm 清理 |
| 低 | kaku2025 | /root 下大量历史版本目录 | /root/geo-v20-* 约 40 个版本目录(开发迭代痕迹),占系统盘 | 归档压缩后转移,系统盘仅留 live-snapshot |
| 低 | kaku2025 | maizi-task/geo 等服务在 maizihehuo 已有副本 | 双实例并行,数据可能漂移(maizi 库在两台各一份) | 明确主写方,避免下线时数据分叉 |
| 低 | maizihehuo | maizi-nt 目录为账号名目录 | /www/wwwroot/maizi-nt/ 下是 6 个类似账号的目录(am748159 等),用途待确认 | 确认用途,如为用户数据移至规范路径 |
| 低 | maizihehuo | 已停止项目残留 | tuike docker栈(未起)、erpnext_oob、MaxKB(站点反代8180无进程)、mall/mod 等多个 stop 站点 | 归档到 /opt/archive 并从 nginx 移除配置,减少攻击面 |
| 低 | maizihehuo | PM2 版本提示 out-of-date | 内存中 PM2 6.0.14 与本地 7.0.4 不一致 | 执行 pm2 update && pm2 save |
| 低 | pve-fnos | SMB/NFS 暴露在家庭内网 | 445/139/2049/111 对 0.0.0.0,时间机器共享(/vol1/@timemachine)开放;依赖路由器不做端口映射 | 确认路由器无 445/2049 映射;SMB 关闭 guest 访问 |
| 低 | pve-fnos | IPv6 直连公网 | 机器持有 2409:8a5c 公网 IPv6,飞牛防火墙/ipblocker 在跑,但开放面需复核 | 飞牛安全设置里确认 IPv6 防火墙开启、仅放行必要端口 |
| 低 | pve-home | OSX-KVM/frps 遗留组件 | /opt/OSX-KVM 有 OpenCore 引导文件与下载日志,当前无 macOS VM;frps+frpc 同机并存 | 确认弃用后删除 /opt/OSX-KVM 释放空间 |
| 低 | tx-bianque | yunmailk.bianquezhiyin.com → 18080 本机无监听 | nginx 配置存在但本机无 18080 服务,站点失效 | 确认后删除站点配置避免误导 |
| 低 | tx-bianque | shezhenkf.bianquezhiyin.com → 52002 后端待确认 | 配置存在,52002 监听情况未核实 | 核实后标注状态 |
| 低 | tx-silicon | guigu 下载站无 HTTPS | guigu.bianquezhiyin.cn 仅 80,静态下载站 | certbot 补证书或并入 maiziim 站点 |
| 低 | tx-silicon | v2ray 8443/30402 公网 | 翻墙业务端口,属预期暴露,注意合规 | — |
| 低 | vm103 | 明文凭据文件 | /opt/bocha-mcp/api_key.txt、/opt/octop-data/credential.txt、/opt/octop-usage/mx_key.txt(博查 API key、登录凭据、MiniMax key)明文存放 | 收窄权限 chmod 600;轮换泄露风险 key;长期改环境变量/凭据管理 |
| 低 | vm103 | 内存余量偏小 | 2.9G 总量,OCtop 容器 + postgres + bocha-mcp + tailscale 常驻后可用 1.7G | 避免再叠新服务;必要时升级 VM 内存到 6G(宿主内存压力大,优先级低) |
| 低 | workbuddy-host | WorkBuddy 常驻 CPU 高 | 两进程合计约 90% 核,长期满载会缩短整机续航/寿命并拖累宿主机 | 排查 WorkBuddy 内高耗扩展;闲时退出 WorkBuddy(Ctrl+Q)而非最小化 |
| 低 | workbuddy-host | 双隧道并存 | cron 里一条 ssh -R 19218→vpn.bianquezhiyin.cn:18080,systemd 又一条 server-agent-tunnel→43.161.234.104(19218),重复隧道易互踢 | 保留 systemd 版,删除 crontab 中 @reboot 的 nohup ssh 行 |
| 低 | yimai-tx | 3001/3002/3003 进程非 systemd 托管 | 官网后端(3001)、admin 前端(3002 python http.server)、新版(3003 nohup)重启不自启 | 参考 salary.service 补 unit 文件 |
| 低 | yimai-tx | 系统 208 天未重启 | 内核更新未生效 | 低峰期 reboot |