标签：反向代理

1. 总体方案与安全原则 步骤概述：1) 优先使用跳板机（bastion host）或VPN把访问集中到受控入口；2) 使用密钥认证、禁用密码登录；3) 使用最小权限和安全组/防火墙限制入站端口。 安全要点：a) 不直接暴露所有站群机器到公网上；b) 所有映射端口需记录并限制来源 IP；c) 日志审计与入侵防护（fail2ban、WAF）。