我的运维笔记

第1讲 服务器安全加固

核心目标

把裸奔服务器加固：密钥登录、两层防护、fail2ban自动封禁暴力破解；VNC作为自救后路。

1.暴力破解现象查看

sudo journalctl -u sshd | grep -i "failed" | tail -30

2.两条登录通道

• SSH(Workbench)：走公网22端口，受sshd配置管控；配置出错会断开，不是后路。
• VNC带外通道：不经过安全组、不经过sshd，相当于本机显示器；锁门外时的救命通道。VNC登录tty为/dev/tty1；SSH登录是伪终端如/dev/pts/0。

3.SSH密钥认证原理

• 私钥：存本地电脑，绝不外传，身份凭证。
• 公钥：放到服务器，可以公开。服务器出题，只有对应私钥可以解开完成登录。

4.新建普通用户study

sudo adduser study
sudo passwd study
sudo usermod -aG wheel study

5.本地电脑生成ed25519密钥对

ssh-keygen -t ed25519 -C "你的名字-服务器加固"

Windows查看公钥：type $env:USERPROFILE\.ssh\id_ed25519.pub

Mac/Linux查看公钥：cat ~/.ssh/id_ed25519.pub

6.服务器配置公钥，严格权限（权限过松SSH拒绝密钥登录）

mkdir -p ~/.ssh
chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

7.老师巡检账号teacher（无密码，免密sudo）

sudo adduser teacher
sudo mkdir -p /home/teacher/.ssh
sudo vi /home/teacher/.ssh/authorized_keys
sudo chmod 700 /home/teacher/.ssh
sudo chmod 600 /home/teacher/.ssh/authorized_keys
sudo chown -R teacher:teacher /home/teacher/.ssh

echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher
sudo chmod 440 /etc/sudoers.d/teacher
sudo visudo -c
sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"

8.修改sshd_config加固SSH

编辑 sudo vi /etc/ssh/sshd_config 修改/新增：

• PubkeyAuthentication yes 开启公钥认证
• PasswordAuthentication no 关闭密码登录
• PermitRootLogin no 禁止root远程登录
• MaxAuthTries 3最大尝试次数
• ClientAliveInterval 300
• ClientAliveCountMax 2
• AllowUsers study teacher白名单登录用户

sudo sshd -t
sudo systemctl reload sshd

9.两层防护：安全组 + firewalld主机防火墙

• 安全组：阿里云平台层，管控公网流量能否进入实例。
• firewalld：操作系统内部防火墙，流量到实例后放行到服务。遵循最小开放原则。

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

ICMP协议没有端口概念；安全组显示“任何”不是开放全部端口，ping依赖ICMP。

sudo ss -tlnp

10.fail2ban自动封禁暴力破解IP

sudo dnf install -y epel-release
sudo dnf install -y fail2ban

新建 /etc/fail2ban/jail.d/sshd.local

[sshd]
enabled = true
backend = systemd
maxretry = 3
findtime = 600
bantime = 3600

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

常见自救要点

• SSH连不上：VNC登录修复sshd配置；执行sshd -t再reload
• 密钥登录提示密码：检查目录700，authorized_keys600，属主正确
• sudoers语法错误：VNC登录root修复配置，执行visudo -c校验

第2讲 网站上线：域名解析与Nginx个人主页

核心流程

DNS域名解析 → 安全组&防火墙开放80端口 → Nginx部署个人网站，首页放置ICP备案链接。

DNS域名解析

• A记录：域名指向IPv4公网IP
• 主机记录@代表主域名；www代表www子域名
• TTL：DNS缓存时间，修改记录生效需要等待TTL时间。

nslookup 你的域名
nslookup www.你的域名

开放80端口（HTTP）两层开门

阿里云安全组入方向开放TCP:80；firewalld放行http服务。

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

Nginx安装启动

sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl status nginx
nginx -v

创建网站目录

sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite
ls -ld /var/www/mysite

Nginx站点配置 /etc/nginx/conf.d/mysite.conf

server {
    listen 80;
    server_name example.com www.example.com;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

sudo nginx -t
sudo systemctl reload nginx

上传网页两种方式

1）本地scp上传

scp index.html study@服务器公网IP:/var/www/mysite/

2）服务器vi直接编辑

vi /var/www/mysite/index.html

server_name与Host请求头原理

Nginx根据HTTP请求头Host匹配server_name；IP访问时Host不是域名，匹配不到自定义站点，返回Nginx默认页面。

curl -H "Host:你的域名" http://127.0.0.1
curl http://127.0.0.1 | head -5

403 Forbidden排错

• 网页文件权限至少 644，目录权限至少 755
• Nginx工作进程以nginx用户运行；文件权限600其他用户不可读，产生权限拒绝。
• 排错优先查看错误日志：sudo tail -3 /var/log/nginx/mysite_error.log

查看网站访问日志

sudo tail -f /var/log/nginx/mysite_access.log

故障排查简表

• 域名打不开IP打得开：解析记录错误，等待TTL生效
• 访问连接超时：80端口安全组/firewalld没有放行
• 403：权限问题；404：路径文件名错误
• 域名访问是默认页：server_name配置写错

第3讲 HTTPS与证书自动续期

HTTP明文风险

HTTP全部明文传输，中间网络设备可以读取请求、表单数据。HTTPS = HTTP + TLS加密；实现传输加密 + 服务器身份认证（数字证书）。

sudo dnf install -y tcpdump
sudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User-Agent|