人生不过方圆天地，得失皆在方寸人心。

这一句话，是我这几年一直在反复咀嚼的东西。说透了，世事的底层逻辑向来简单：要么借事得利，要么因事损利。所有纠葛与纷争，不管裹上多漂亮的言辞，绕不开的都是利益的取舍与博弈。

成年人的清醒，始于辨明人心真伪。

如果你关注过本地跑大模型，大概率见过这几类方案：

1. 消费级显卡——RTX 5090Ti，插上电脑，装个 LM Studio 或 llama.cpp 就用
2. 工作站/服务器——洋垃圾 X99 平台 + 一两张 V100 算力卡，Ubuntu + CUDA + PyTorch + vLLM 折腾一圈
3. 企业级——有钱上 B300/H100，什么都没说

这篇文章聊的是第 2 种。我最近刚把一套双 V100 16G 工作站跑通，把硬件、软件栈、踩坑记录和最终结论都记下来。

服务器暴露在公网上，SSH 端口每天被扫几千次是常态。密钥登录、非标端口、fail2ban 封 IP、二次验证……这些手段我都用过。它们各有各的效果，但也各有各的短板。

这篇文章讲的是另一种思路：端口敲门 (Port Knocking)——让 SSH 端口在扫描器眼里根本不存在，只有知道正确敲门序列的人才能打开它。

同时我会把到目前为止接触过的三种 SSH 防护方案放在一起做个横向对比，聊聊各自适合什么场景。任何方案都有适用边界，没有银弹。