我的运维笔记

第 1 讲 服务器安全加固

1.攻击现象：暴力破解

公网服务器会被扫描器持续扫描22端口，尝试大量用户名密码进行暴力破解。查看SSH登录失败日志命令：

sudo journalctl -u sshd | grep -i "failed" | tail -30

2.两条登录通道（重要）

• SSH（Workbench）：走公网22端口，受sshd配置控制；修改SSH配置出错该通道会断开，不是救命后路。
• VNC：阿里云带外管理通道，相当于本地显示器；不走安全组、不受sshd影响，是故障自救的后路。

运维三个好习惯：私钥永不外传、改配置先留后路、先验证再收口。

3.SSH密钥登录原理

• 私钥：保存在自己电脑，绝不外传，身份凭证。
• 公钥：放到服务器，可以公开。服务器用公钥出题，只有对应私钥可以解开完成登录。

3.1 创建普通用户study

sudo adduser study
sudo passwd study
sudo usermod -aG wheel study

3.2 本地生成ed25519密钥对（本机PowerShell/终端）

ssh-keygen -t ed25519 -C "你的名字-服务器加固"

Windows查看公钥：type $env:USERPROFILE\.ssh\id_ed25519.pub

Mac/Linux查看公钥：cat ~/.ssh/id_ed25519.pub

3.3 服务器部署公钥，严格设置权限

mkdir -p ~/.ssh
chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
ls -l ~/.ssh

⚠️权限宽松SSH会直接拒绝密钥登录，无报错。必须先验证密钥登录成功，再禁用密码登录。

3.4 创建teacher巡检账号（安装老师公钥，免密sudo）

sudo adduser teacher
sudo mkdir -p /home/teacher/.ssh
sudo vi /home/teacher/.ssh/authorized_keys
sudo chmod 700 /home/teacher/.ssh
sudo chmod 600 /home/teacher/.ssh/authorized_keys
sudo chown -R teacher:teacher /home/teacher/.ssh

echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher
sudo chmod 440 /etc/sudoers.d/teacher
sudo visudo -c
sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"

3.5 修改sshd_config安全配置

编辑 sudo vi /etc/ssh/sshd_config，修改/新增：

PubkeyAuthentication yes
PasswordAuthentication no
PermitRootLogin no
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers study teacher

sudo sshd -t
sudo systemctl reload sshd

4.两层防护：安全组 + firewalld主机防火墙

• 安全组：阿里云平台层，管控公网流量能否进入实例。
• firewalld：操作系统内部防火墙，管控到达实例后的流量放行。
• 原则：最小化开放端口。

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

ICMP协议没有端口概念，安全组显示“任何”不是开放全部端口，仅用于ping连通性检测。

sudo ss -tlnp

5.fail2ban自动封禁暴力破解IP

sudo dnf install -y epel-release
sudo dnf install -y fail2ban

新建配置 sudo vi /etc/fail2ban/jail.d/sshd.local

[sshd]
enabled = true
backend = systemd
maxretry = 3
findtime = 600
bantime = 3600

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

6.常见自救

• SSH连不上：VNC登录修改sshd配置，sshd -t校验再reload。
• 密钥登录要密码：检查 .ssh目录700、authorized_keys 600，属主正确。
• sudoers语法错误：VNC root登录修复配置文件。

第 2 讲 网站上线：域名解析与 Nginx 个人主页

1.DNS域名系统

DNS作用：把域名翻译为服务器公网IP。网站上线三环节：DNS解析、开放端口、Nginx服务。

添加解析记录（阿里云云解析DNS）

• A记录 @ →服务器公网IP（域名本身）
• A记录 www →服务器公网IP（www子域名）
• TTL：DNS缓存时间，修改后需要时间全网生效。

nslookup 你的域名
nslookup www.你的域名

2.开放80端口HTTP服务

安全组入方向放行TCP 80；firewalld放行http服务。

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

3.Nginx安装部署

sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl status nginx
nginx -v

建立网站目录

sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite
ls -ld /var/www/mysite

站点配置文件 /etc/nginx/conf.d/mysite.conf

server {
    listen 80;
    server_name example.com www.example.com;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

sudo nginx -t
sudo systemctl reload nginx

server_name依靠HTTP请求Host头区分不同网站；IP访问不会匹配server_name，返回Nginx默认页面。

4.上传主页文件

scp index.html study@你的服务器公网IP:/var/www/mysite/

合规要求：页面底部放置ICP备案号，链接工信部备案官网。

5.403 Forbidden故障排查

• 网页文件权限建议：644；网站目录权限建议：755
• Nginx工作进程以nginx用户运行，文件权限600其他用户不可读，就会403。
• 排查优先看错误日志：sudo tail -3 /var/log/nginx/mysite_error.log

sudo tail -f /var/log/nginx/mysite_access.log

常见故障速查表

• 域名打不开，IP打得开：解析未生效，nslookup检查。
• 访问连接超时：安全组、firewalld未放行80端口。
• 404：文件名路径错误；确认index.html，root路径。
• 域名访问是Nginx默认页：server_name写错，nginx‑t重载。

第 3 讲 HTTPS 与证书自动续期

1.HTTP明文风险

HTTP传输全部明文，中间网络设备可以抓取请求、参数。tcpdump抓包80端口可以看到GET、Host、UA等信息。

sudo dnf install -y tcpdump
sudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User‑Agent|