風險說明與防護建議

了解每項設定授予了誰什麼存取能力、加密涵蓋到哪裡，以及分享連線或調整網路設定前應檢查的事項。

網路暴露與身分驗證

監聽 0.0.0.0 的風險

0.0.0.0 表示監聽所有 IPv4 網路介面，不限於目前的 Wi-Fi。它本身不會自動開放公網存取；實際可達範圍取決於路由器連接埠轉送、防火牆及網路路由。若未啟用驗證且連接埠可達，可能成為開放代理：他人可耗用頻寬、存取 Mac 或代理路由可到達的資源，濫用行為也可能與您的公網 IP 關聯。建議優先選擇指定的私有介面位址。確需使用 0.0.0.0 時，請啟用身分驗證，並以防火牆限制來源位址；不要將明文 HTTP/SOCKS 監聽連接埠直接暴露於不可信的網路。僅啟用驗證不會加密連線。

未啟用驗證的風險

未啟用驗證時，只要通過監聽連接埠的網路存取檢查，用戶端便可無需憑據使用代理。私有位址或相同 Wi-Fi 不代表裝置可信；請求也無法可靠歸屬至個別使用者。他人可能耗用頻寬、存取可達資源，濫用行為可能與您的公網 IP 關聯。除非已透過隔離網路嚴格限制為可信裝置，否則建議啟用身分驗證。

轉發與 SOCKS 監聽埠

本機轉發會透過 Mac 暴露目標服務；遠端轉發會透過 SSH 伺服器暴露 Mac 能夠存取的服務。遠端的回環監聽位址屬於伺服器，而非本機 Mac；伺服器上其他獲准的使用者仍可能存取它。更廣的遠端監聽範圍還取決於伺服器的 SSH 策略和防火牆。資料庫、遠端桌面和 Web 服務仍應保留自身的身分驗證。

一般 SSH SOCKS 監聽埠與經驗證的網路分享是不同入口，不要認為分享帳號密碼也保護了它。優先選擇 127.0.0.1，擴大範圍前檢查監聽位址、伺服器權限及防火牆。:: 是 IPv6 通配監聽位址，不代表僅允許私有網路。參見本機轉發與遠端轉發。

加密範圍與 SSH 伺服器身分

SSH 加密的是 Mac 與 SSH 伺服器之間的通道，不會自動加密用戶端到監聽埠、或 SSH 伺服器到目標服務的鏈路。需要時使用端對端 HTTPS 或目標協定本身的加密。SSH 伺服器與目標服務仍是需要信任的環節；通道不會讓不可信服務變安全，也不保證匿名。

首次連線時，透過可信管道核對主機金鑰指紋。金鑰變更應先查明原因，再重設信任；不要關閉嚴格檢查來略過警告。密碼、私鑰和 OTP 用於驗證您的身分，主機金鑰用於驗證伺服器身分。參見SSH 主機信任。

路由與 DNS 的涵蓋範圍

檢查規則順序、預設規則及符合規則的 DNS 設定。DIRECT 表示主動選擇直連；應明確設定備援，不要假設 PROXY 失敗後會自動直連。網域解析與應用程式連線可能經過不同路徑。透過代理傳送 DNS，不等於將一般 TCP/53 上游 DNS 變成 DoH。

不要將手動 HTTP 代理、SSH SOCKS 監聽埠或透明路由視為涵蓋所有流量的 VPN 或斷線保護。應用程式可能忽略代理設定、使用自己的 DNS、重用舊連線或傳送不支援的流量。HTTP CONNECT 不提供一般 UDP 轉發。請核對實際應用程式、協定及 IPv4/IPv6 路徑。參見路由規則、DNS和SOCKS 限制。

閘道模式的風險

閘道模式為實驗性功能，不支援使用者名稱密碼或多使用者身分驗證。代理模式的驗證設定不保護閘道流量；IP 過濾只能限制裝置，不能驗證使用者身分。僅在可信且隔離的區域網路使用，並限制允許的來源 IP。啟用時需管理員授權修改 IP 轉送與封包過濾規則，可能中斷網路。裝置到 Mac 的鏈路不會因此加密，IPv6 也可能繞過閘道規則。多閘道網路中，出站與回程路徑不一致可能導致逾時、斷線或連接埠轉送失敗。Mac 睡眠、應用程式結束或位址變更會中斷共享；停止使用後請還原用戶端原有的閘道與 DNS 設定。本節僅說明風險，不代表已驗證閘道設定流程。

企業管理與憑證

企業設定僅企業版可用。Web/API 存取可能暴露設定和已授權的控制操作，終端機與檔案存取權限尤其敏感。先在本機初始化管理員，限制網路可達範圍及角色權限，僅按需要開放控制能力。應用程式介面鎖不能取代 API、管理員或代理身分驗證。

在不可信鏈路上使用經過驗證的 HTTPS。使用私有 CA 時，用戶端必須信任簽發者，且連線名稱必須被憑證涵蓋。僅匯入可信身分，並保護其私鑰。HTTPS 代理的 TLS 只保護自身監聽埠，不會加密另一個 HTTP/SOCKS 埠，也不會增加 UDP 支援。重設 API 權杖與管理員瀏覽器工作階段是獨立的。參見企業存取與 TLS。

認證資料、備份與連線分享

複製的代理 URL 和 shell 命令可能包含密碼，剪貼簿同步、終端機歷史記錄和日誌可能洩露它們。分享診斷資料前，請遮蔽認證資料、權杖、位址及個人資訊。保護 SSH 金鑰，使用獨立且權限足夠小的認證資料。

設定備份的密碼加密內容可能包含認證資料，應安全保存備份和密碼，並分開存放。備份不包含私鑰檔案內容、TLS 身分／CA 私鑰、管理員帳號／API 權杖、企業活動記錄或應用程式解鎖資料，需要另行安排復原。QR 碼分享雖不含認證資料，仍會揭露設定；取得 QR 碼和分享密碼的人可以匯入。到期不會撤銷已匯入的副本。參見備份範圍與QR 碼分享。

自動化與無人值守連線

啟用前審查本機／遠端腳本及連線完成動作，它們以相應 Mac 或 SSH 帳號的權限執行。匯入設定後，先核對目標、監聽埠、規則和腳本。啟動群組及自動重試可能無須再次手動點按就重新開啟多條連線。鎖定應用程式介面不會中斷既有通道。無人值守前，檢查群組成員及啟動／重試設定。參見自動化。

可用性、隱私與使用責任

睡眠、網路變更、上游限制或並行連線過多可能中斷服務或耗盡資源。SSH 狀態為綠色不代表目標服務可用。流量統計和連線記錄是執行參考，不能作為安全證明或完整計費依據。只分享您有權授權的網路和服務；目標平台仍執行自身存取規則，濫用可能關聯到出口 IP。參見疑難排解。

對外提供服務前的檢查

• 確認每個監聽埠的實際可達者，包括經路由到達的網路和遠端伺服器使用者。
• 啟用適當的身分驗證與目標服務加密，並核對 SSH/TLS 身分。
• 檢查來源限制、規則順序、預設規則和 DNS，先用一個獲准用戶端測試。
• 審查啟動、重試、群組和腳本；保存原網路設定，另行準備金鑰／憑證復原。
• 留意資源使用量和連線記錄，不再需要時停止分享。

懷疑遭未授權使用時

1. 停止受影響的分享、監聽埠或連線；若涉及管理存取，停止管理服務。
2. 縮小防火牆／路由器的暴露範圍，撤銷受影響的帳號、認證資料或權杖。僅重設權杖不等於登出瀏覽器。
3. 私下保存必要日誌，檢查伺服器和目標服務的存取情況，複核規則、群組及啟動動作。
4. 將曾修改的用戶端閘道／DNS 恢復原狀，再僅開放必要能力，並用可信用戶端核驗。