你以为 UFW 只放行了 22 和 443，结果 docker ps 里所有映射端口从公网都能连——因为 Docker 直接往 iptables 的 nat 表插规则，绕过了 UFW 的过滤链。四种解法、验证方法，以及我实测踩到的坑。
2026-10-10
本文尝试分享一些基于Cloudflare Pro 以及 Snippets 的防护规则/配置/代码。在规则方面，尽可能做到精简。 世界上不可能有两个一模一样的站点（就算内容、程序一样，流量也不可能完全一样），所以也不可能有适配所有网站的通用WAF规则。本文例子中的站点为虚构站点（f47fb81b
2025-07-09