雲端 Mac 監聽連接埠稽核：用 lsof、pfctl 與 SSH 縮小暴露面

遠端 Mac 經過幾輪建置後，開發工具、偵錯伺服器、套件管理器與暫用指令碼都可能留下監聽連接埠。真正需要處理的並不是「連接埠數量太多」，而是無法回答三個問題：哪個程序正在監聽、繫結至哪個位址，以及機器重新啟動後是否會再次出現。以下使用 macOS 內建工具建立一套可重複執行的唯讀稽核流程，再逐步縮小暴露面。

先建立監聽連接埠基準

先在節點閒置且沒有臨時偵錯工作時，擷取 TCP 與 UDP 狀態。-nP 可避免名稱解析及連接埠名稱轉換，讓輸出更適合保存與比較。

mkdir -p "$HOME/audit/network"
stamp="$(date -u +%Y%m%dT%H%M%SZ)"

sudo lsof -nP -iTCP -sTCP:LISTEN \
  > "$HOME/audit/network/tcp-$stamp.txt"

sudo lsof -nP -iUDP \
  > "$HOME/audit/network/udp-$stamp.txt"

netstat -anv -p tcp \
  > "$HOME/audit/network/netstat-tcp-$stamp.txt"

不要只查看連接埠號碼。必須綜合判讀 COMMAND、PID、USER 與 NAME：同一個開發伺服器由一般使用者執行，和未知程式以 root 身分執行，兩者的處置優先順序截然不同。

LISTEN 不代表一定能從外部連線。監聽位址、主機防火牆與節點網路政策會共同決定最終結果；但萬用位址表示程序主動擴大了接收範圍，應優先釐清原因。

從連接埠追查程序與啟動項目

找到 PID 後，使用 ps 確認完整命令、父程序與執行時間，再檢查它是否來自常駐啟動項目。

pid=1234
ps -p "$pid" -o pid,ppid,user,lstart,command
sudo lsof -nP -p "$pid"

launchctl print "gui/$(id -u)" > "$HOME/audit/network/launch-gui.txt"
sudo launchctl print system > "$HOME/audit/network/launch-system.txt"

find "$HOME/Library/LaunchAgents" \
  /Library/LaunchAgents \
  /Library/LaunchDaemons \
  -maxdepth 1 -name '*.plist' -print 2>/dev/null

針對可疑的 plist，使用 plutil -p 檔案路徑 查看 Program、ProgramArguments、RunAtLoad 與 KeepAlive。如果程序是由建置指令碼暫時啟動，工作結束後就應該退出；如果 KeepAlive 使其持續重新啟動，單純執行 kill 並不能解決問題。

建立處置清單

每一項非系統監聽至少都應記錄服務用途、負責人、啟動方式、繫結位址與保留理由。對於無法確認歸屬的程序，應先停止相關工作，並保存命令列、日誌路徑與 plist 內容；不要立即刪除檔案，否則會遺失疑難排解所需的脈絡。

優先調整繫結位址，而非先封鎖連接埠

如果開發服務僅供目前使用者使用，最直接的修正方式就是繫結至回環位址。如此一來，即使防火牆規則有所變動，程序也不會主動接受來自其他介面的連線。

python3 -m http.server 8080 --bind 127.0.0.1

HOST=127.0.0.1 PORT=8080 ./run-development-server

若要從自己的電腦存取，請使用 SSH 本機轉送作為連線入口：

ssh -N \
  -L 127.0.0.1:9000:127.0.0.1:8080 \
  "$REMOTE_USER@$REMOTE_HOST"

接著存取本機的 127.0.0.1:9000。同時也應確認遠端服務仍然只監聽 127.0.0.1:8080，而不是因為啟動參數未生效，又退回 *:8080。

限縮繫結位址通常比新增封鎖規則更容易驗證，也較不容易意外中斷遠端管理連線。防火牆是第二層控制，不應取代正確的服務監聽設定。

以唯讀方式核對兩層防火牆

macOS 的應用程式防火牆與 pf 各有不同的關注範圍。稽核時應先讀取狀態，不要直接在遠端工作階段中覆寫規則。

sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps

sudo pfctl -s info
sudo pfctl -sr
sudo pfctl -sn

應用程式防火牆清單可用來確認哪些程式獲准接受入站連線；pf 輸出則用於查看篩選與位址轉換規則。發現異常時，應先保存完整輸出，再確認規則是來自系統設定、維運流程，還是臨時實驗。

遠端修改 pf 的最大風險並非語法錯誤，而是連目前的管理連線也一併封鎖。如果沒有第二條已驗證的連線路徑，就應停留在唯讀檢查階段。若確實需要變更，也應先備份規則、明確訂出復原命令，並透過另一個工作階段持續確認主控台仍可連線。

使用差異比對防止連接埠回潮

單次清理無法涵蓋後續的工具升級、建置指令碼變更與新增啟動項目。建議在環境初始化完成後保存已核准的基準，並於每次重大變更後重新擷取。

latest_tcp="$(ls -t "$HOME"/audit/network/tcp-*.txt | head -n 1)"
diff -u "$HOME/audit/network/tcp-approved.txt" "$latest_tcp"

latest_udp="$(ls -t "$HOME"/audit/network/udp-*.txt | head -n 1)"
diff -u "$HOME/audit/network/udp-approved.txt" "$latest_udp"

差異中出現新增項目時，請依固定順序檢查：確認程序歸屬、確認監聽位址、確認啟動來源、判斷是否需要遠端存取，最後才決定要保留、改為本機繫結或停用。不要只把連接埠號碼加入靜態允許清單便停止追查，因為同一個連接埠可能會被不同程式接管。

在 OwnAMac 的獨享實體節點上，這套流程同樣適用於建置代理程式、預覽伺服器、測試回呼程序與臨時檔案服務。完成後請保留原始快照、處置紀錄及複查結果，下一次環境變更時便能直接從差異著手，而不必重新猜測目前狀態。

常見問題