你在家里的小机器上跑了个代理服务，图省事，监听地址那一栏填了 0.0.0.0，心里想的是"这样就只监听本机了"。过几天发现流量莫名其妙暴涨，或者服务被人拿去当跳板，出口 IP 进了黑名单。
现象
某台服务器上的代理服务，配置里绑定地址一栏填的是 0.0.0.0。本意是想"限制一下监听范围"，结果用 ss -tln 一看，端口显示为 *:<端口>，双栈全开，任何来源都能连上。
外部扫描器一旦扫到，就能直接拿去用。轻则烧光你的订阅流量，重则被当作攻击跳板，出口 IP 被各大站点拉黑。而你自己可能很久都不知道——直到流量账单或者莫名其妙的封禁通知出现。
根因
关键在 0.0.0.0 这个字面量的语义。很多人脑子里把它读作"本机"，但它的真实含义是"所有接口"——内核层面就是 INADDR_ANY，告诉系统这个 socket 接受来自任意网络接口的连接。
它不但不是"只绑本机"，恰恰是"绑所有地方"。真正表示"只绑本机"的是 127.0.0.1（IPv4）和 ::1（IPv6）。
除此之外还有两个放大器：
- 这类代理客户端如果配置里勾了"允许局域网连接"却没写绑定地址，默认行为也是绑所有接口；
- 家庭宽带的光猫对 IPv6 入站通常不做拦截，所以哪怕你以为"只有内网能连"，公网 IPv6 侧照样可达。
两件事叠在一起，"我配了 0.0.0.0 应该安全了"这个判断就完全反了。
解决
第一步，先把真实监听状态核实清楚，别信配置文件：
ss -tln
# 或者
lsof -nP -iTCP -sTCP:LISTEN
看输出里的本地地址列，是 *:<端口> 或 [::]:<端口> 就说明还在全开；只有 192.168.x.x:<端口> 这类具体内网地址才是真的收敛了。
第二步，把绑定地址改成具体的内网 IP，比如 192.168.0.10。注意外部控制端口（通常叫 external-controller 之类的那一项）也要一起锁到同一个 IP，否则数据面锁住了，控制面还敞着，等于门锁了但窗户开着。
第三步，改完之后要有心理准备，这个改动有副作用：一旦绑定到具体 IP，回环地址就不再有监听，本机所有调用这个代理的脚本都会失败——订阅刷新、curl -x http://127.0.0.1:7890、写死 localhost 的 API 地址，统统要改成走那个具体内网 IP。这一步经常被漏掉，然后回头排查"为什么代理突然不能用了"。
第四步，站在外网实测端口不可达。用外面的节点（比如手机蜂窝网络）去连这个 IP 和端口，连不上才算数。只看本机 curl 结果是没有意义的——本机测本机永远是通的。
延伸与预防
凡是自建服务，起之前先过一遍"三问"：
- 它现在绑在哪个地址？
- 它有没有鉴权（密码 / token）？
- 从外网能不能连上？
三个问题任何一个答不上来，就先别急着让它跑。
另外，别把 0.0.0.0 当成偷懒的默认值。可以在防火墙层再加一道兜底：只放行来自内网网段的入站，其余全部丢弃。这样即使某天程序升级后又自己绑回了全接口，也还有一层拦着。同类思路也适用于 Docker 端口映射、数据库监听地址、Web 面板绑定地址——都是同一个"默认值往往是最宽松的"问题。