linux.do

build your dream

图片来自网络
1 个帖子 - 1 位参与者

阅读完整话题

via LINUX DO - 最新话题 (author: 𝓵𝓮𝔃𝓲𝓼𝓱𝓮𝓷)

Invalid media: image

19 views15:04

[水期教程 && 分享配置]如何保障自己的服务器安全

闲来无事写篇教程，分享下自己配置服务器的心得和体会
虽然站里大部分佬友应该都不会需要那么基础的服务器配置教程

但是我比较注重安全嘛，这篇也主要是讲安全

本人第一次写教程所以可能分享不是很全面也可能不是很通熟易懂，望各位佬友指正

前言-“源站隐身”的哲学

最好的防御是让攻击者找不到目标，可以反人类一点

我举个例子
我之前为了让AI直接在我的手表上操作我的服务器
我写了个垫片，可以让服务器运行的本地MCP工具的stdin/stdout变成SSE远程MCP
这样我在学校也可以方便的拿手表控制服务器
但是这要暴露公网对吧。。。远程控制又root权限是很危险的对吧
所以我设置了一个长达512Bit的Token，没有的话就不服务
到这里本来也是很普通的，但是我程序设计的就是反人类
别人的话Token错了报错401/403
我返回404
还有类似fail2ban的东西，如果1分钟超过错误10次接下来一天管你对不对全部404
401/403是给人看的排查错误用的，但是如果真想不被人摸到那就应该返回看起来没有任何价值的信号，比如404/502之类的

第一节，最上层的防御策略

反向代理和相关配置
拿到服务器的话，除了自己SSH，暴露在公网环境能用CDN就不用直连
CDN这里推荐Cloudflare大家应该都没意见吧，虽然在国内可能相当于减速带，但是重在免费东西真太多了
ITDog跑的结果（点击了解更多详细信息）
可以直接在CF买域名直接一条龙拿服务(不过可能偏贵一点，一个com差不多要10美元)
然后进入域名设置找到DNS，如果橙色云朵亮了那就是CDN启用了

这种不懂可以问Gemini这是啥（）
然后CF的CDN会自动帮你签张证书，可能是GTS也可能是R3的，都差不多这个不用太在意
然后在CF仪表盘的SSL/TLS的概述页面，你可以看到这个的等级建议开严格(完全)，不过这个要独立配置一张CF的证书待会讲
然后在边缘证书板块可以看到CF帮你签的证书
为了安全建议把强制HTTPS这些都勾上(反正我是连HSTS都一起开了)，毕竟我连服务器的80端口都没开🤣

然后去源服务器设置那里专门生成一张15年有效期的源服务器证书，到时候你的服务器的Nginx就用这玩意和cloudflare做认证，cloudflare只认你的这个证书
可以把.pem和.key放到/etc/nginx/certs这种地方去，然后让那个Nginx使用它
偷工减料让Gemini写的Nginx配置，一个意思，可以照抄甚至让AI给你写定制的（点击了解更多详细信息）
这样的话可以很好的保护CF到源服务器的路程不被劫持
当然，上面其实讲了一大堆屁话谁都会和你那么讲那么配

我们更需要关注的是(划重点)

就算你躲在CDN后面，源站IP藏起来了，你以为人家找不到了吗？
打错特错
每时每刻每分每秒都有扫描器对着所有IP(不看域名)扫描试图访问
要是你的服务器IP正好被摸到了，乖乖把证书交出去了，扫描器一看你证书里面SAN字段那么大一个域名，那么到时候源站IP一样露，和域名关联那就很有辨识度了
我们应该开启CF的回源验证，路径在SSL/TLS>源服务器>经过身份验证的源服务器拉取

我们只需要稍微对Nginx做点配置，让Nginx反向识别这个证书是不是来自CF的，不是CF的直接拒绝服务
具体这样操作还是偷懒让Gemini帮忙写的配置，可以照抄，也可以让AI写（点击了解更多详细信息）
然后扫描器的连接可以被掐断在第四层打不到应用层，虽然知道你的IP和开放端口，但是没法直接访问不能和域名关联那么扫到了也没啥意义
这样相当于服务器和CDN直接做了双向TLS验证，杜绝扫描器关联你的域名和IP
毕竟要是源站IP漏了那么在有攻击的情况下有没有CDN都没用了
对了，套了CDN，特别CF的CDN的时候
Nginx最好加上real_ip_header CF-Connecting-IP;
这样可以让Nginx记录客户端而CF边缘节点的IP

第二节，系统安全防护

首先对于你最最最亲爱的服务器

ssh要好好保护，防护等级从小到大依次是

1.建议是使用非标准的端口去ssh，只要避开默认的22可以杜绝80%以上的无脑爆破攻击
2.其次就是最好可以装个fail2ban，不然人家高频爆破蒙对密码了呢？
3.上非对称密钥，而且禁用密码登录
这里讲怎么生成非对称密钥和配对，虽然这是基操但是我知道你们懒得打字提前写着直接用吧（点击了解更多详细信息）

还有一节就是防火墙的

很多小白装了ufw可能会疑惑，为什么ufw把端口ban了，但是docker跑的服务还是照样可以访问
因为docker比较霸道劫持了你的系统网关
我们不能为了安全就禁用Docker的iptables功能（那会导致容器没法上网），最优雅的办法是使用ufw-docker这个开源工具，它能强行让Docker重新听 UFW 的话。

sudo wget -O /usr/local/bin/ufw-docker https://github.com/chaifeng/ufw-docker/raw/master/ufw-docker
sudo chmod +x /usr/local/bin/ufw-docker
ufw-docker install

然后这样的话docker也归防火墙管了
有特殊的语法

ufw-docker allow nginx 443 #允许nginx的443端口
ufw-docker deny nginx 8080 #禁止nginx的8080端口

然后如果这样配置的话
除非万不得已，永远不要在docker-compose.yml里直接写ports:-“80:80”
不然又要专门给个防火墙配置，只要你不映射别人就不能直接进来
可以只暴露nginx的然后通过容器内网访问
加入同一个网络即可，这里不多赘述

总而言之

不想被打，那么就一定要保护好源站IP，躲在CDN后面
此外，就算你套了CDN，DNS解析也不能随便乱搞
你不能主站套了CDN，然后备用域名是解析直连。。。人家查一下你相关域名的全部DNS解析记录一关联，哎呀，防半天还是💥
特别是有想搞邮件服务器的佬友们，首先别家的邮箱能不能信你的IP是个问题，但是只要你跑SMTP了那么你的IP一定会“露出”，不如去用第三方转发省事
还有就是对于证书也是，别人可以查你域名的证书，然后可能可以和全网扫描器抓下来的其他子域名的证书做比对，也有可能可以反推出的IP和域名关系(可以像我一样mTLS服务器只挂了一个CF的源服务器证书看你怎么比对😋)
所以不要直接在源站使用公开签发的证书

还有就是如果自己能造轮子的话可以不走寻常路，只要你的设计够反人类😈那么查起来就麻烦嘻嘻

好啦打了那么多字。。。我感觉我看你一开始还有东西要讲的，但是打了那么多字，好像忘光光了()，不知道还要讲啥，就先那么多叭？后面可能补
如果我讲的东西有遗漏或者错误也欢迎佬友纠正

2 个帖子 - 2 位参与者

阅读完整话题

via LINUX DO - 最新话题 (author: Eric Terminal)

Invalid media:
image
image
image

17 views15:04