标签：安全策略

1. 背景与目标 在拉萨等地，业务对延迟、合规与稳定性要求提升。采用香港服务器托管配合本地机房的混合部署，可以兼顾对外曝光与本地访问性能。本文目标是提出可落地的架构与运维建议，兼顾带宽成本、数据主权与容灾能力。 2. 设计原则 2.1 可靠性优先 以容灾与备份为核心，关键业务在本地实现快速恢复，非关键流量使用香港节点分担。 2.2 网络优

首先要把握原则：默认拒绝、最小暴露、分层防护。针对入站和出站流量，将默认策略设置为拒绝，只允许必要服务端口（如80/443、应用指定端口）。管理接口（SSH/RDP）必须限制来源IP或仅通过堡垒机访问，开启密钥认证并关闭密码登录。 其次启用状态检测（stateful）防火墙功能，配置连接追踪，避免简单的包过滤导致误判。对管理面板启用两步验证和管理端