服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 安全组、网络 ACL 和路由推断的是“可能可达”；网络扫描从互联网探测，报告扫描时观察到的实际可达性。
- 每个被发现可达的端口都会产生带端口和服务证据的 Security Hub 发现；Security Hub Exposures 可结合其他发现和资源配置评估更广泛风险。
- 当前用户指南列出带公网 IP 的 AWS EC2 实例、EIP 和各类负载均衡器，并仅说明一组常见 TCP 端口；它没有给出解决 GovCloud 文档冲突的完整区域级清单。
- 公告称该功能包含在 Security Hub Essentials 中，在支持 Security Hub 的商业和 GovCloud (US) 区域不另收费；这不是整个 AWS 使用免费承诺。
网络扫描比规则推断多确认一步
安全组、网络访问控制列表（NACL）和路由表可以说明配置可能允许什么流量；这类配置证据不等于互联网端真的能连到服务。Network Scanning 从互联网方向探测公开资源，判断目标资源是否实际可达，以及可达端口上运行什么服务。它补充 Security Hub 现有的网络可达性发现，并不把配置分析变成完整安全审计。
AWS 于 2026 年 11 月 5 日发布的公告称该功能现已支持 GovCloud (US)。公告概括可发现公开 IP、虚拟机和负载均衡器，识别可达端口与服务；每个可达端口生成带端口和服务证据的 Security Hub 发现，Security Hub Exposures 再与其他发现和资源配置关联，帮助理解更广泛风险。
单条发现和没有发现意味着什么
一条开放端口发现对应具体资源和地址上的一个可达端口，并带有扫描时收集到的端口、服务证据。对于间歇性可达的端口，当前用户指南说明发现依据扫描当时的正向证据；它记录的是那次观察，不代表之后一直可达，也不证明其他端口都已检查。
如果扫描未在资源上发现开放端口，指南说会生成 Informational（信息性）发现，表示扫描器已检查其当前支持的端口，且不需要对此发现采取操作。相反，指南指出受支持资源类型尚无发现，意味着该资源还没有被扫描。没有发现不能当作“已验证不可从互联网访问”的证明；先确认功能状态、资源是否受支持以及扫描是否已发生。
资源类型与端口都有明确边界
当前用户指南列出的 AWS 资源类型包括带公网 IP 的 EC2 实例、Elastic IP（EIP）、Network Load Balancer、Application Load Balancer 和 Classic Load Balancer。公告对 GovCloud 的描述只概括为公开 IP、虚拟机和负载均衡器；由于同一指南仍只写商业 AWS 区域，不能据此断定这些详细资源类型在每个 GovCloud 区域都已覆盖。
用户指南列出 20 个常见 TCP 端口，信息性“无开放端口”发现也只覆盖扫描器当前支持的端口。这不保证检查了全部 65,535 个 TCP 端口，更不代表所有其他端口或协议都已检查。公告没有提供 GovCloud 专用的资源与端口矩阵；在把结果用于覆盖评估前，应先核对当前账户和区域实际支持范围。
GovCloud 可用性与默认状态仍需核对
11 月 5 日的 AWS 公告称现已支持 GovCloud (US)：现有客户可以按账户和区域启用，或通过组织配置策略管理；公告还称新 Security Hub 客户默认开启。公告没有逐一列出区域，具体账户是否已就绪仍需核对。
但当前 AWS Security Hub 用户指南仍称 Network Scanning 是 opt-in 功能，并把区域可用性写为提供 Security Hub 的商业区域。两处资料对 GovCloud 范围和新客户默认状态存在冲突。不要据此假定每个 GovCloud 账户均已就绪或一律默认开启；先只读检查具体账户、区域的功能状态和最新官方说明，不要把启用操作当成可用性测试。
“不另收费”只指扫描功能本身
AWS 公告称 Network Scanning 包含在 Security Hub Essentials 中，在支持 Security Hub 的商业和 GovCloud (US) 区域不另收费。该费用说明依赖功能与区域均受支持，不能替代对当前账户资格和服务计划的核对。
“扫描功能不另收费”不等于整个 Security Hub、其他 AWS 服务或整个云环境都免费。做预算或决定是否采用前，应以目标账户和区域的当前产品说明及账单信息核对实际范围；可达性发现也只回答扫描覆盖范围内当时观察到了什么，不能单独作为整体安全保证。
资料来源
常见问题
扫描负载均衡器，会同时扫描它后面的所有实例吗？
当前用户指南说，扫描器解析并扫描负载均衡器的 DNS 名称；其后的 EC2 实例只有拥有自己的公网 IP 或 EIP 时才单独扫描。不要把负载均衡器有发现理解为后端实例全部已检查；该指南仍未明确 GovCloud 的逐资源覆盖矩阵。
关闭暴露端口后，原来的发现会立刻关闭吗？
用户指南说，需要下次扫描确认端口不可达后才关闭发现，并将活跃资源的重扫描述为大约每 12 小时一次。这个描述不是即时更新保证或时限承诺；指南对 GovCloud 的适用范围仍与公告存在差异，本文没有核实 GovCloud 的专属重扫间隔。