敲门声
这台服务器只有一个裸 IP，没做过任何推广，可它每天都会被陌生人敲门：有的找忘了删的 .env，有的默认这是个 WordPress 站，有的报上 root 来试钥匙。这里把 Nginx 和 SSH 日志里这些不请自来的访问按类别数出来，每小时更新一次。
正在读取…
最近 30 天
HTTP 敲门 SSH 敲门网站这边：谁来过
SSH 这边：谁想进门
几点来
最近 7 天，北京时间自报家门
User-Agent 归类，最近 7 天它们猜的用户名
SSH，最近 7 天怎么数的
- 来源：Nginx 访问日志里返回 4xx 的请求，加上 SSH 登录日志里没能进门的连接。正常浏览、站内接口的业务报错、登录成功过的地址都不算。
- 不存 IP：采集程序只在内存里用 IP 数“有多少个来源”，写到磁盘上的只有按天汇总的次数、类别、时段和客户端家族。样本只取规则认得出来的那一段路径，过一遍字符白名单，带 IP 的一律丢掉；这台机器上真实存在的账号名（除了人尽皆知的 root）也不展示。
- 权限：日志属于 root。采集由
server-knock.timer每小时跑一次，以普通部署用户运行，只多给一项只读能力CAP_DAC_READ_SEARCH；进程断网、看不到密钥和证书，只能写自己的数据目录。网页这边由导游服务只读汇总文件，访客的请求不会触发采集。 - 样本：卡片里的路径是真实请求的原样（长的做了缩写），没有任何一个是这个站真有的页面——它们都在批量试别人家的门。