不要把服务建在非默认端口上

最近，关于服务安全，发现一个有趣的结论——把服务建在不常用的端口上会降低而非提升安全性。比如说 MySQL 该建在 3306 就建在 3306，不要去换端口。这个主要是针对集群部署来说。

以曾经的经验，更改服务端口通常可以避免被一般工具扫描。然而，现代的网络空间测绘已经把整个网络扫了个遍。即使更换端口，这些服务仍然已经被识别并被纳入数据库。这些非默认端口的服务，反而成了某种特征。

采用同一批非常规端口的服务器，通常由同一个运维或同一套脚本部署。一旦其中一台机器有漏洞，通过端口，就可以从茫茫 IP 中筛选出所有机器，从而集中爆破。如果这些服务没有修改端口，要找到它们反倒要花更多的功夫。

总的来说，任何响应信息都不该包含具有特征的内容，以免被定位到整个集群。