你有没有想过，你家宽带装好后，运营商给的那个公网IP，其实就像你家的门牌号，谁都能找到？很多人觉得，我又没开服务器，也没做网站，IP暴露没关系。可现实是，这个“门牌号”一旦被盯上，你的设备可能已经在被人悄悄扫描、试探。
公网IP是怎么暴露的？
只要你用的是宽带拨号上网，尤其是家庭宽带或企业专线，很大概率会被分配一个公网IP。这个IP是全网可达的，意味着从互联网任何角落，只要有技术手段，就能尝试连接它。很多人装了摄像头、NAS、路由器后台，甚至老旧的打印机，都默认开启了远程访问功能，而这些服务往往就挂在你的公网IP上。
举个例子：老王在家搭了个私有云盘，方便在外读文件。他没改默认端口，也没设强密码。结果某天发现硬盘里的照片全被加密，弹出勒索提示——攻击者就是通过扫描公网IP，找到他开放的5000端口，利用弱密码暴力破解进来的。
常见的攻击路径
黑客不会一个个手动试，他们用自动化工具批量扫描特定IP段。比如，专门扫国内某运营商的C类地址，只要发现22端口（SSH）开放，就尝试用常见用户名密码登录。开放80或443端口的，直接抓网页指纹，看是不是某个已知漏洞的路由器管理界面。
更隐蔽的是那些长期潜伏的扫描行为。你的IP可能每天收到几十次来自不同国家的连接请求，有的是机器人收集信息，有的是试探防火墙规则。你根本看不到，但日志里清清楚楚。
别以为NAT就是保险箱
很多人觉得，我有路由器，内网设备在NAT后面，外网访问不到。这话只对一半。NAT确实能挡住未经允许的入站连接，但如果你主动访问过恶意网站，或者点了带毒链接，设备可能反向连出去，建立隧道。这时候，攻击者就能通过这个“合法”通道回连你内网的机器。
另外，UPnP功能如果开着，某些应用会自动在路由器上开转发规则。比如你装了个P2P下载工具，它可能默默打开了端口映射，把你某个内网设备直接暴露出去。
怎么降低风险？
最直接的办法是尽量避免使用公网IP。现在不少运营商推“光猫桥接 + 自购路由器”模式，这时候你可以选择让光猫不分配公网IP，所有流量走运营商内网中转。当然，这会影响远程访问需求。
如果必须用公网IP，至少做到这几条：
关闭不必要的端口服务；
修改默认管理端口（比如把路由器后台从80改成随机高位端口）；
启用防火墙并设置规则，限制管理界面仅内网访问；
定期更新固件，修补已知漏洞；
重要设备加双因素认证。
代码示例：简单防火墙规则防护
如果你用的是Linux路由器或防火墙设备，可以加一条iptables规则，限制外部访问管理端口：
# 只允许内网IP访问22端口（SSH）
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP这样，外网IP就算扫到22端口，也无法建立连接，除非伪装成内网IP——而这在公网环境下几乎不可能。
你的IP可能已经被收录
去查查自己的公网IP，然后在Shodan这类搜索引擎里搜一下。你会看到一堆信息：开放端口、服务版本、甚至设备型号。有些人的路由器管理页面直接能点开，用户名密码还是admin/123456。这种不是电影情节，是每天都在发生的现实。
网络安全不是“等出事再处理”的事情。你的公网IP从分配那一刻起，就已经在互联网地图上标好了位置。防住第一步，比事后补救重要得多。