workbuddy云环境安全组需按服务角色与信任层级精细化管控端口：api网关仅限内网访问8080/443；ai组件11434/8090严禁公网暴露，依赖networkpolicy隔离；redis 6379实施三层过滤；运维端口22/9090/5044须审批限时开放；tcp 2375、5900–5999、27017、udp 161等高危端口一律禁用。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在为WorkBuddy配置云环境安全组时不确定哪些端口必须开放、哪些必须严格禁用，则可能是由于未区分服务角色与网络信任层级。以下是依据WorkBuddy企业级部署架构提炼出的端口管控规则实践：
一、API网关与核心服务端口策略
WorkBuddy的API网关（workbuddy-core）作为所有外部指令入口，仅允许最小必要端口暴露于受信内网段，公网必须完全封锁。该策略防止未授权调用触发沙箱或模型推理任务。
1、开放TCP 8080端口，但仅限源IP范围为10.10.50.0/24（企业内网管理网段）的入向连接。
2、关闭该端口对0.0.0.0/0及172.16.0.0/12（私有云默认互通网段）的全部入向访问。
3、若启用HTTPS反向代理，开放TCP 443端口，但必须绑定企业内网CA签发的mTLS证书，并在安全组层面拒绝无SNI头或SNI不匹配wb-api.internal.corp的连接请求。
二、AI推理与沙箱组件端口隔离
Ollama兼容端口（11434）和Claw沙箱通信端口（如8090）属于高敏感后端服务，严禁直接暴露。其通信必须限定在Kubernetes Pod间或同一VLAN内受控节点之间，避免跨租户或跨VPC流量穿透。
1、在安全组中禁止所有对TCP 11434端口的入向规则，仅通过NetworkPolicy允许来自workbuddy-namespace内llm-router Pod的连接。
2、对TCP 8090端口设置出向白名单，仅允许目标为claw-sandbox服务ClusterIP（如10.96.200.10）的连接，拒绝其余全部出向尝试。
3、在宿主机防火墙（如iptables）中添加DROP规则，拦截任何从非workbuddy-core Pod发起、目标为11434或8090的原始SYN包。
三、Redis与状态存储端口强化控制
Redis（6379）承载Claw沙箱会话状态与指令队列，一旦泄露将导致指令劫持或沙箱逃逸。该端口必须实施三层过滤：安全组、网络策略、实例级绑定。
1、安全组中仅放行源IP为172.16.200.10–172.16.200.30（WorkBuddy服务端IP池）的TCP 6379入向连接。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
2、Redis配置文件redis.conf中设置bind 127.0.0.1 172.16.200.20（仅绑定本机回环与指定内网IP），禁用0.0.0.0监听。
3、启用Redis ACL，为claw-worker用户分配仅+@read +@write -@admin权限，禁止CONFIG、SHUTDOWN、MODULE等高危命令。
四、调试与管理端口临时开放规范
SSH（22）、Prometheus指标端口（9090）、日志采集端口（5044）等运维端口不得长期开放。必须按需申请、限时启用、操作留痕，且仅限指定跳板机访问。
1、SSH端口开放前，须在IT工单系统提交审批，注明使用人、起止时间、目标主机及事由，审批通过后由自动化平台临时注入安全组规则。
2、临时规则生效时间为最长4小时，超时自动删除；规则中源IP必须精确到单一跳板机IP，禁止使用IP段。
3、Prometheus端口9090仅允许从监控平台所在Pod IP（如10.96.150.5）访问，且返回响应头中必须包含X-Content-Type-Options: nosniff与Strict-Transport-Security字段。
五、禁止开放的高风险端口清单
以下端口在任何WorkBuddy生产环境中均不得开放，无论其是否被官方文档提及或默认启用。开放即构成严重合规偏差，可能触发SOC告警与审计扣分。
1、TCP 2375（Docker未加密API）——强制要求使用TLS认证的2376端口替代，且仅限本地socket通信。
2、TCP 5900–5999（VNC服务）——Claw沙箱图形界面必须通过WebRTC代理提供，禁用原生VNC监听。
3、TCP 27017（MongoDB默认端口）——WorkBuddy不使用MongoDB，若误部署需立即卸载或重绑定至127.0.0.1并修改端口为非标准值（如27117）。
4、UDP 161（SNMP）——所有节点禁用snmpd服务，安全组中显式拒绝UDP 161入向与出向流量。
