建议修改默认的 SSH 端口和面板端口，不要使用默认端口。

给指定端口加省市白名单：只有白名单里的省或市能连，其他省一律在内核按端口封禁（不影响该 IP 的其他端口）。省份定位偶尔会跳，误封时 TG 报警里点「解除封禁」或在黑名单页解封；内网与信任名单永远豁免。删除规则不自动解封已封禁，到期或手动解封为止。

防的是代理池分布式爆破：攻击者用成百上千个代理 IP、每个 IP 只试一两次，上面那种「单个 IP 失败 N 次」的阈值永远抓不到。开启后，同一个重点端口若在短时间内涌入大量不同来源 IP，将判定为洪峰，立即临时关闭该端口并通过 TG 升级报警。

注意：下载类端口（qBittorrent、Transmission 等 BT 下载）千万不要设为重点端口——BT 对端成百上千是正常流量，会误触发关端口。重点端口只适合 SSH、面板、管理后台这类来源 IP 很少的服务。

只看、不探：从本机连接与内核连接表里被动观察某 IP 在短时间内触达的不同 TCP 端口数，达阈值即判定为扫描。闭口试探（对方敲没开的端口）也能看见，因为它在内核连接表里留痕。采样间隔 1 秒；亚秒级全端口快扫理论上可能漏报。内网与信任名单豁免。

在 Telegram 给机器人发送 /rescue 打开急救菜单：信任 IP、解封全部、关闭所有拦截（30 分钟后自动恢复）、恢复防护。破坏性动作（解封全部、关闭所有拦截）必须输对超级密码；日常拉黑、单个解封不走密码。内网 IP 永远不进黑名单，家里局域网永远是活路；应用挂了时 TG 也救不了，只能 SSH 上去改 bans.json 或清 nft 规则。

外部攻击名单单独分区：底层 nft 全端口封禁，不进入黑名单记录、不计入今日拉黑与黑名单总数。信任白名单优先于黑名单与情报名单，加入信任后照样能连。

证书只有两个来源：在线申请（ACME）与手动上传，列表只显示元数据、不显示私钥。申请的证书按首域名分子目录存放，上传的证书存在数据目录的 certs 子目录；申请、上传、删除完成后列表自动刷新。下载为 zip（含证书与私钥，妥善保管）。

每条连接的流量数字来自内核的连接字节计数（nf_conntrack_acct）。开启后，本应用会在启动时自动打开它，任何人装上就能用，不需要改系统设置；设备重启后应用也会自动重新打开。应用退出时会把自己打开的开关恢复原样；若这个开关原本就是开着的（别的软件打开的），应用不会动它。

设置备份 = 全部配置（设置 + 端口 + 蜜罐），不含数据；数据备份 = 黑名单 + 统计 + 事件 + 流量账本。只恢复设置不会带回黑名单，要黑名单必须恢复数据。恢复前自动拍当前快照（data/snapshots，每种最新 5 份，可用同样入口导回）；恢复数据后立即重做 nft 对账。