自托管的服务一旦开始对外提供访问，它就被放进了"公网大市场"：任何能连上网的机器都可能来敲你的端口。很多人靠"默认不开、要用才开"的直觉在抗，但真正的底气来自防火墙——一层在网络入口就决定"哪些包能进、哪些包根本进不来"的规则层。Linux 上负责这件事的是内...