将服务绑定到127.0.0.1是最轻量有效的防护方式，可从源头阻断公网直连；需修改mysql、postgresql等配置为仅监听回环地址，并用ss或lsof验证是否生效，再配合ssh隧道实现安全远程访问。
直接将服务绑定到 127.0.0.1（或 ::1）是最有效、最轻量的防护方式——它从源头切断公网直连可能，无需依赖防火墙规则，也不增加额外组件开销。
确认服务监听地址并修改配置
多数服务默认监听 0.0.0.0（所有 IPv4 地址）或 ::（所有 IPv6 地址），需显式改为仅本地。常见服务配置方式如下：
-
MySQL / MariaDB：编辑
/etc/mysql/mysqld.cnf或/etc/my.cnf，设置：bind-address = 127.0.0.1 -
PostgreSQL：修改
/etc/postgresql/*/main/postgresql.conf：listen_addresses = 'localhost'（或'127.0.0.1'） -
Redis：编辑
/etc/redis/redis.conf：bind 127.0.0.1，并确保protected-mode yes -
Nginx / Apache 作为本地代理：在 server 块中用
listen 127.0.0.1:8080替代listen 8080
验证监听状态是否生效
配置保存后重启服务，用以下命令确认服务确实只绑定了回环地址：
-
ss -tlnp | grep :端口号（推荐，比 netstat 更现代） lsof -iTCP -sTCP:LISTEN -Pn | grep :端口号
输出中应只出现 127.0.0.1:端口 或 ::1:端口，绝不能出现 *:端口 或 0.0.0.0:端口。
Redis Skill - 高性能缓存管理
下载
Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。
配合 SSH 隧道提供可控远程访问
若需让授权用户从外网安全访问该服务，不开放端口，而是利用 SSH 端口转发：
- 本地机器执行：
ssh -L 8080:127.0.0.1:3306 user@server_ip
→ 本地访问localhost:8080即等效于访问服务器上 MySQL 的 3306 端口 - 支持多跳、动态 SOCKS 代理（
ssh -D 1080）或反向隧道（适用于内网服务器）
该方式天然继承 SSH 的密钥认证、加密传输和连接审计能力，比开放端口+密码认证更可靠。
补充加固：禁用不必要的 ICMP 回显响应
即使服务已绑定 localhost，攻击者仍可能通过 ping 探测主机存活。关闭 ICMP 回显请求可进一步降低暴露面：
- 临时禁用：
echo 1 | sudo tee /proc/sys/net/ipv4/icmp_echo_ignore_all - 永久生效：在
/etc/sysctl.conf中添加net.ipv4.icmp_echo_ignore_all = 1，再运行sudo sysctl -p
注意：这不影响本机内部 ping localhost 或服务间通信，仅阻止外部 ICMP Echo Request 到达。
