第一层当然是换不常用的端口，规避直接扫描，但是这主要是方法扫常用端口的。

第二层你 https 流量的话，有流量就会引来探测，然后就会来扫端口，一测是个 https 服务，而且是公开的。严格一点的地方就 GG 了。因此第二步就是给 https 增加鉴权，部分地方会忽略这种 401 unAuth 的服务，只要不是公开 http 服务交就行。注意： http 鉴权和服务本身的登录是不一样的，比如能打开群晖首页未登录和 https 鉴权不过返回 401,不一定都认定为开放服务。

第三层是 IP 白名单，要求你的防火墙或者路由器支持 API 或者 ssh/telnet 等交互方式，这样便于实现脚本自动修改白名单。我的思路是先通过 ip 接口（例如 https://myip.ipip.net, https://ddns.oray.com/checkip, https://ip.3322.net ，也可以自己在云服务器跑一个获取 IP 的 docker： https://github.com/yshtcn/GetIP_Service ），然后用脚本把 IP 加入白名单（我的用例是自动注册 IP 到阿里云安全组： https://github.com/yshtcn/alicloud-ip-updater ），并定期删除和清理。只要能交互，用 gpt 类实现脚本可以减轻不少工作量。

第四层思路才是 VPN 、代理和 SD-WAN 组网，一般用在固定的两点或多点之间。比如办公室和家里。