服务器、VPS等安全防护教程

Introduction

在从搬瓦工（Bandwagon）购买VPS之后，自信的在vps里使用了debian搭建ss等等。

过了一个多月，就收到搬瓦工邮件，说

We have detected a large number of outgoing SMTP connections originating from this server. This usually means that the server is sending out spam.

我们检测到你的服务器上有大量SMTP连接，换句话说，你的服务器在发送垃圾邮件。

就是说vps被黑了。被人用来滥发邮件。

经过一番努力之后，终于在两三个月里，被黑了三次。达到了他们的容忍上限（每个用户的每个vps有三次机会，超过三次就会被停止使用），发tickt也不给面子，就是不让用了。只能新买服务。。

于是新买了个vps，这里记录下使用vps需要注意的安全问题。

1.认识问题严重性

先在你机器（包括你平时用的linux的机器）上跑几个命令看看吧。

1.1查看尝试暴力破解机器密码的人

害怕吗？

1.2查看暴力猜用户名的人

在我实验室的机器上，看到的结果如下：

感受到寒意了吗？

2应对策略

2.1 SSH相关

2.1.1 不使用默认的22端口

ssh登陆默认的端口是22，而搬瓦工一般都默认是一个比较大的随机端口，不要为了方便，改回22。

修改文件，将其中的改为随意的端口比如，port的取值范围是 0 – 65535(即2的16次方)，0到1024是众所周知的端口（知名端口，常用于系统服务等，例如http服务的端口号是80)。

2.1.2 不要使用简单密码

搬瓦工默认生成的root密码是随机的，但是不要改成你自己的密码，你可以将密码记在手机上，但是一定不要改成你自己的有规律的密码。

2.1.3 禁止使用密码登陆，使用RSA私钥登陆

这条是最重要最有效的。

跟之前写的debian ssh 连接android 通过termux里登陆部分是一样的。rsa的原理也不再赘述，wiki上的条目描述的很清楚。

先通过生成你的客户端的密钥，包括一个私钥和公钥，用把公钥拷贝到服务器上，注意，生成私钥的时候，文件名是可以自定义的，且可以再加一层密码，所以建议文件名取自己能识别出哪台机器的名字。然后在服务器上，你的用户目录下，新建文件夹，并将该文件夹的权限设为700，，并新建一个，这是默认允许的key存储的文件。如果已经存在，则只需要将上传的文件内容追加进去即可：，如果不存在则新建并改权限为400即可。

然后编辑ssh的配置文件：

2.1.4 禁止root用户登录

你可以新建一个用户来管理，而非直接使用root用户，防止密码被破解。

还是修改

2.2 使用Fail2ban

此部分原来用的是denyhosts，但是它几乎不更新了，现在用Fail2ban

github地址

一般软件源里都已经收录了它。

2.2.1 配置文件

默认配置文件一般在。现在你已经准备好了通过配置 fail2ban 来加强你的SSH服务器。你需要编辑其配置文件 /etc/fail2ban/jail.conf。 在配置文件的“[DEFAULT]”区，你可以在此定义所有受监控的服务的默认参数，另外在特定服务的配置部分，你可以为每个服务（例如SSH，Apache等）设置特定的配置来覆盖默认的参数配置。

在针对服务的监狱区（在[DEFAULT]区后面的地方），你需要定义一个[ssh-iptables]区，这里用来定义SSH相关的监狱配置。真正的禁止IP地址的操作是通过iptables完成的。

（其实默认配置即可）

根据上述配置，fail2ban会自动禁止在最近10分钟内有超过3次访问尝试失败的任意IP地址。一旦被禁，这个IP地址将会在24小时内一直被禁止访问 SSH 服务。

2.2.2运行

一旦配置文件准备就绪，按照以下方式重启fail2ban服务。

在 Debian, Ubuntu 或 CentOS/RHEL 6:

在 Fedora 或 CentOS/RHEL 7:

为了验证fail2ban成功运行，使用参数'ping'来运行fail2ban-client 命令。 如果fail2ban服务正常运行，你可以看到“pong（嘭）”作为响应。

2.2.3 解锁特定ip

检验fail2ban状态（会显示出当前活动的监狱列表）：

为了检验一个特定监狱的状态（例如ssh-iptables):

上面的命令会显示出被禁止IP地址列表。

为了解锁特定的IP地址：

注意，如果你停止了Fail2ban 服务，那么所有的IP地址都会被解锁。当你重启 Fail2ban，它会从(或)中找到异常的IP地址列表，如果这些异常地址的发生时间仍然在禁止时间内，那么Fail2ban会重新将这些IP地址禁止。

2.2.4 设置 Fail2ban 自动启动

一旦你成功地测试了fail2ban之后，最后一个步骤就是在你的服务器上让其在开机时自动启动。在基于Debian的发行版中，fail2ban已经默认让自动启动生效。在基于Red-Hat的发行版中，按照下面的方式让自动启动生效。

在 CentOS/RHEL 6中:

在 Fedora 或 CentOS/RHEL 7:

2.3 终极杀手锏 iptables

iptables，一个运行在用户空间的应用软件，通过控制Linux内核netfilter模块，来管理网络数据包的流动与转送。在大部分的Linux系统上面，iptables是使用/usr/sbin/iptables来操作，文件则放置在手册页（Man page[2]）底下，可以通过 man iptables 指令获取。通常iptables都需要内核层级的模块来配合运作，Xtables是主要在内核层级里面iptables API运作功能的模块。因相关动作上的需要，iptables的操作需要用到超级用户的权限。

开机启动项的设置可以参考Reference里关于iptables的条目

总结

安全问题实在太重要，即使设置了以上防护，也有可能被攻克，重要的是提高安全意识。

等我遇到了新的问题，再更新文章。。

Reference

VPS 防止 SSH 暴力登录尝试攻击

linux默认端口范围是多少

10 分钟服务器安全设置，Ubuntu安全设置入门

Linux下的iptables详解及配置

Linux上iptables防火墙的基本应用教程

iptables wiki

iptables archwiki

如何使用 fail2ban 防御 SSH 服务器的暴力破解攻击