我的运维笔记

第1讲 服务器安全加固

1. 为什么要加固

公网服务器会被扫描器暴力破解SSH（22端口），使用日志查看爆破记录：

sudo journalctl -u sshd | grep -i "failed" | tail -30

2. 两条登录通道

• SSH通道：包含本地ssh客户端、Workbench网页终端；经过安全组、受sshd配置控制，配置出错会断开。
• VNC带外通道：阿里云控制台VNC，不走网络安全组、不受sshd配置影响，是故障自救的后路。VNC登录终端为/dev/tty1，SSH登录为/dev/pts/0。

3. SSH密钥登录原理

• 私钥：存本地电脑，绝不外传，身份凭证。
• 公钥：放到服务器 ~/.ssh/authorized_keys，可以公开。
• 登录：服务器用公钥出题，只有匹配私钥可以解密完成登录。

4. 创建普通用户study

sudo adduser study
sudo passwd study
sudo usermod -aG wheel study

5. 本地生成ed25519密钥对

ssh-keygen -t ed25519 -C "名字-服务器加固"

Windows查看公钥：type $env:USERPROFILE\.ssh\id_ed25519.pub

Mac/Linux查看公钥：cat ~/.ssh/id_ed25519.pub

6. 服务器配置公钥，权限非常关键

mkdir -p ~/.ssh
chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
ls -l ~/.ssh

7. 巡检账号teacher配置（免密sudo）

sudo adduser teacher
sudo mkdir -p /home/teacher/.ssh
sudo vi /home/teacher/.ssh/authorized_keys
sudo chmod 700 /home/teacher/.ssh
sudo chmod 600 /home/teacher/.ssh/authorized_keys
sudo chown -R teacher:teacher /home/teacher/.ssh

echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher
sudo chmod 440 /etc/sudoers.d/teacher
sudo visudo -c
sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"

8. 修改sshd_config SSH加固配置

编辑 sudo vi /etc/ssh/sshd_config 修改/新增：

• PubkeyAuthentication yes 开启公钥认证
• PasswordAuthentication no 关闭密码登录
• PermitRootLogin no 禁止root远程登录
• MaxAuthTries 3 最大尝试次数
• ClientAliveInterval 300 保活间隔
• ClientAliveCountMax 2 保活最大次数
• AllowUsers study teacher 白名单登录用户

sudo sshd -t
sudo systemctl reload sshd

9. 两层防护：安全组 + firewalld主机防火墙

• 阿里云安全组：云平台层，控制公网流量能不能进实例。
• firewalld：操作系统内部防火墙，流量进来之后放行哪些服务。遵循最小开放原则。

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

ICMP协议没有端口概念，安全组显示“任何端口”不是开放全部端口，仅允许ping连通测试。

sudo ss -tlnp

10. fail2ban自动封禁暴力破解IP

sudo dnf install -y epel-release
sudo dnf install -y fail2ban

新建配置 sudo vi /etc/fail2ban/jail.d/sshd.local

[sshd]
enabled = true
backend = systemd
maxretry = 3
findtime = 600
bantime = 3600

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

11. 运维三大习惯

1. 私钥永不外传
2. 改配置先留后路（VNC自救）
3. 先验证，再收口

第2讲 网站上线：域名解析与Nginx个人主页

1. DNS域名系统

DNS作用：域名翻译成服务器公网IP，相当于互联网通讯录。网站上线三环节：DNS解析、开放端口、Nginx Web服务。

2. 域名解析A记录

• A记录：IPv4解析；主机记录 @代表主域名，www代表www子域名。
• TTL：DNS缓存时间，修改解析不会立刻全网生效。

nslookup 你的域名
nslookup www.你的域名

3. 开放80端口HTTP（安全组+firewalld）

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

4. Nginx安装启动

sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl status nginx
nginx -v

5. 创建网站目录

sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite
ls -ld /var/www/mysite
getenforce

6. Nginx站点配置 /etc/nginx/conf.d/mysite.conf

server {
    listen 80;
    server_name example.com www.example.com;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

sudo nginx -t
sudo systemctl reload nginx

7. 上传网页

scp index.html study@服务器公网IP:/var/www/mysite/
# 或者服务器内vi编辑
vi /var/www/mysite/index.html

8. 403 Forbidden排障

Nginx工作进程以nginx用户运行。网页文件权限至少644，目录至少755；优先查看nginx错误日志排查Permission denied。

sudo tail -3 /var/log/nginx/mysite_error.log

9. 查看网站访问日志

sudo tail -f /var/log/nginx/mysite_access.log

第3讲 HTTPS与证书自动续期

1. HTTP明文风险

HTTP全部明文传输，中间人可以直接读取请求、表单数据。使用tcpdump抓包观察80端口明文流量。

sudo dnf install -y tcpdump
sudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User-Agent|