除了贾斯汀关于无意中打开应用程序以进行远程访问的回答之外，请记住，即使没有任何东西专门监听连接，操作系统也总是会监听——如果只是路由/映射到适当的进程或拒绝或静默丢弃数据包。因此，操作系统仍然是一种特定的攻击媒介，当防火墙允许流量流向“非活动”端口时，它仍然不受保护。

但是，在这种情况下，所有条件都相同，打开一个非活动端口或 1000 个非活动端口几乎没有什么区别。但一定要听从最小特权原则的建议。

据我了解，Mosh 并不需要一千个端口才能工作。它只需要一个（每个客户）。因此，您可以打开任何单个端口，并告诉 Mosh 使用它（来自手册）：

mosh -p 60000 my.server

随机选择端口的原因是什么？这个我不明白。

[更新]它不选择随机端口。它搜索一组端口以找到第一个打开的端口（参见代码）。如果不是这样，您将不得不在多用户系统上手动选择一个空闲端口。

这意味着您只需要与服务器上的用户（可能使用 mosh 的人）一样多的端口。如果是自己的盒子，只需要开放60000端口即可。

问题是开放大量端口可能允许攻击者暴露另一个可能正在使用这些端口的应用程序。例如，用于存储患者记录的 EMR 应用程序可能配置为使用这些端口范围，但我不希望来自不受信任的 Internet 的人能够利用该开口。它归结为尽可能地强制执行最少的特权。在这些情况下，您可能希望利用打开该端口范围的 VPN。这解决了身份验证问题，因此也解决了授权问题。如果您在 DMZ 上谈论您的外部防火墙，那么您仅在协议/端口级别信任，因此必须更加严格。

应该完全有可能最小化 mosh 的 UDP 端口范围

https://github.com/keithw/mosh/blob/master/src/network/network.h#L77

如果我理解正确，这是发送方进程选择 UDP 端口的范围。因此，应该可以编译本地“窄范围”mosh 版本，并为 mosh 提供合适的本地“窄范围”防火墙 UDP 策略。

这让我想到了一个元问题：一个范围有多窄才足以让 mosh 有用？

如果我理解正确，每个 mosh 服务器需要一个端口。因此，在个人服务器和习惯使用 tmux（= 只有一个客户端）的情况下，需要一个用于工作，一个用于修复问题。

但我可能错了，我不是 C 编码器，我昨天才发现 mosh。