我的运维笔记

1.1先看见威胁：22 端口一直被扫描

服务器接入公网的那一刻就不再是无人问津的角落。自动化扫描程序昼夜遍历 IP，一旦发现 22 端口开着，就用海量常见用户名和密码反复尝试——这就是暴力破解。

sudo journalctl -u sshd | grep -i "failed" | tail -30

你多半会看到大量陌生 IP 的失败记录，而且绝大多数在尝试 root。所以后面每一步加固，都沿着"攻击者会从哪里进来"这条线索走。

1.2关键认知：登录服务器有两条通道

动手之前必须先分清这两条路。理解了它，才敢放手改配置——因为你知道万一改坏了，还有一条路能进去。

1.3用密钥代替密码

密码有两个天生的弱点：可能被猜中，也可能被泄露。密钥认证换了一套思路——生成一对相互配对的钥匙：

• 私钥：留在自己电脑上，绝不外传，是身份的唯一凭证；
• 公钥：放到服务器上，可以公开，谁都能看。

登录时服务器用公钥出一道只有对应私钥才解得开的"数学题"。持有私钥的人轻松解开；没有私钥的攻击者，即使拿到公钥也无从下手。

① 先准备一个普通用户

加固后会禁止 root 远程登录，所以先建日常账号。后文的 study 都要换成你自己的用户名。

sudo adduser study
sudo passwd study
sudo usermod -aG wheel study

② 先亲自走通一次 VNC

后路只有亲自走通过一次才靠得住。别等真出事了才第一次打开它。在控制台 ECS → 实例 → 远程连接 → VNC 远程连接，用 study 和它的系统密码登录，然后验证身份和终端类型：

whoami    # 应显示 study
tty       # VNC 登录显示 /dev/tty1；SSH 登录显示 /dev/pts/0 之类

/dev/tty1 是机器本地控制台终端，相当于直接插在服务器上的键盘；/dev/pts/0 是伪终端，代表一条网络连接。两者不同，正好印证了两条通道彼此独立。用完 exit 退出。

③ 在自己电脑上生成密钥对

密钥必须在本机生成，私钥从诞生起就只存在于你的机器里，从不经过网络。Windows 用 PowerShell，Mac／Linux 用终端：

ssh-keygen -t ed25519 -C "你的名字-服务器加固"

# Windows
type $env:USERPROFILE\.ssh\id_ed25519.pub

# Mac / Linux
cat ~/.ssh/id_ed25519.pub

④ 把公钥安装到服务器

所谓"安装公钥"，就是把公钥写进该账号的 ~/.ssh/authorized_keys（已授权的公钥清单）。

sudo su - study                 # 切换过去，此后 ~ 就是 /home/study
mkdir -p ~/.ssh
chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys       # 按 i 进入编辑 → 粘贴公钥整行 → Esc → :wq 保存
chmod 600 ~/.ssh/authorized_keys
ls -l ~/.ssh                    # 核对：authorized_keys 应为 -rw-------

⑤ 一条铁律：先验证密钥能登录，再往下做

ssh study@服务器公网IP

如果失败，回控制台查三件事：公钥有没有贴错、权限对不对、用户名对不对。在验证成功之前，绝对不要进行下一步。

⑥ 给老师配一个巡检账号

几乎人人都会犯的直觉错误：把自己的私钥发给老师。这是绝对错误的——私钥一旦发出去，拿到它的人就能完全控制这台机器。正确做法恰恰相反：让老师拥有自己的密钥对，你只把老师的公钥装到你的服务器上。

sudo adduser teacher
sudo mkdir -p /home/teacher/.ssh
sudo vi /home/teacher/.ssh/authorized_keys    # 贴入【老师发给你的公钥】整行
sudo chmod 700 /home/teacher/.ssh
sudo chmod 600 /home/teacher/.ssh/authorized_keys
sudo chown -R teacher:teacher /home/teacher/.ssh

echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher
sudo chmod 440 /etc/sudoers.d/teacher
sudo visudo -c                                # 全部显示 parsed OK 才算通过
sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"

1.4收口：加固 sshd_config

密钥登录验证通过后，才来关掉不安全的登录方式。

sudo vi /etc/ssh/sshd_config

sudo sshd -t                  # 没有输出就是正确，有错会指出行号
sudo systemctl reload sshd

至此，服务器已经从"谁都能来猜密码"，变成"只有持私钥的白名单用户才能进入"。

1.5两道门：安全组与主机防火墙

云服务器与普通物理机最大的不同，就是防护有两层门，相互独立、都需要配，原则都是同一个词——最小化：只开必须的门。

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

接着到控制台 实例 → 安全组 → 配置规则 检查入方向，把握三点：保留 TCP 22（你自己的 SSH 和 Workbench 都走它，删掉就只剩 VNC）；删掉或收紧用不到的端口；ICMP-IPv4 可以保留。

为什么有的规则"端口"是"任何"

安全组按"协议＋端口"两个维度控制，并不是只看端口。TCP／UDP 才有端口概念，所以写 TCP 22、TCP 80；ICMP 是网络层诊断协议（ping、traceroute 用的就是它），本身不使用端口，控制台只能在端口栏填 -1/-1 或显示"任何"——那只是占位符，不代表把所有端口都打开了。放行 ICMP 只能让别人 ping 通你（知道它在线），无法登录也无法传输数据。

保留它还有实际好处：日后 SSH 连不上时先 ping 一下，就能判断问题出在网络／机器本身，还是仅仅出在 SSH 配置上。

sudo ss -tlnp

1.6让服务器自动反击：fail2ban

前面的加固都是被动防守——把门锁牢。fail2ban 让服务器学会还手：盯着登录日志，发现某个 IP 反复失败，就自动封禁一段时间。

sudo dnf install -y epel-release
sudo dnf install -y fail2ban

规范做法是在 jail.d/ 下新建 .local 文件，而不是直接改 jail.conf——这样软件升级时你的配置不会被覆盖。

[sshd]
enabled  = true
backend  = systemd
maxretry = 3
findtime = 600
bantime  = 3600

连起来读就是一句话：10 分钟内失败 3 次，就封禁这个 IP 一小时。

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

重点看输出里的 Banned IP list——那就是被你的服务器自动关进"小黑屋"的攻击者。名单暂时是空的也不代表操作有误，只是还没被扫描器盯上，挂一段时间自然会有记录。

1.7验证清单与自救

提交方式：只交主机的公网 IP 一样东西。老师用自己的私钥，通过你装好的 teacher 公钥登录检查。任何时候都不要把自己的私钥发给任何人。

2.1一个网站能被访问，要打通三个环节

今后排查网站故障，就按这三个环节从前往后逐一检查。

2.2域名解析：把 IP 换成名字

DNS 就是互联网的"通讯录"：浏览器输入域名后，先向 DNS 查对应的 IP，再去连那台服务器。解析记录添加后需要一段时间才能全网生效，所以第一步就做解析，让它在后台慢慢生效，同时去做后面的步骤——把需要等待的事情提前做。

在 云解析 DNS → 域名解析 → 解析设置 → 添加记录 里加两条：A @ → 公网IP 和 A www → 公网IP。这样 你的域名 和 www.你的域名 都指向了服务器。

nslookup 你的域名
nslookup www.你的域名

暂时查不到也不必着急，可能还在生效中，先继续做后面的步骤，几分钟后再查。

2.3为网站开门：只开 80

"最小化"不是"什么都不开"，而是服务真正上线时，才开放对应的门。本讲只开 80；443 等下一讲配证书时再开。和上章一样，两层门都要开。

安全组：实例 → 安全组 → 配置规则 → 入方向 → 添加规则，协议 TCP，端口 80，授权对象 0.0.0.0/0。控制台通常也有"HTTP(80)"的快速添加选项。

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload
sudo firewall-cmd --list-services    # 应包含 ssh 和 http

2.4安装 Nginx 并配置站点

Nginx 的工作很直接：守在 80 端口，收到浏览器请求后找到对应的网页文件发回去。后面配 HTTPS、做反向代理、当 AI 服务网关都要用它。

sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl status nginx    # 应显示 active (running)，按 q 退出
nginx -v

浏览器访问 http://你的服务器公网IP，看到 Nginx 默认测试页就说明装好了、80 也通了。

不修改系统自带默认页，而是为本站单独建目录，结构清晰，以后加第二个站也不会互相干扰：

sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite
ls -ld /var/www/mysite        # 应为 drwxr-xr-x，属主 study

编写站点配置

Nginx 会自动加载 /etc/nginx/conf.d/ 下所有 .conf 结尾的文件。

server {
    listen 80;
    server_name example.com www.example.com;   # 带 www 和不带 www 都要写

    root /var/www/mysite;
    index index.html;

    access_log /var/log/nginx/mysite_access.log;
    error_log  /var/log/nginx/mysite_error.log;

    location / {
        try_files $uri $uri/ =404;
    }
}

sudo nginx -t
sudo systemctl reload nginx

2.5发布个人主页

内容自由发挥，但有一条硬性要求：首页底部必须显示 ICP 备案号，并链接到工信部备案查询网站 https://beian.miit.gov.cn/。这是备案网站的合规要求，不是可选项。

可以让 AI 生成，但要自己检查三件事：备案号是不是你的、链接地址对不对、页面能否正常显示。能讲清页面结构，才算真正完成。

scp index.html study@你的服务器公网IP:/var/www/mysite/

# 或者
vi /var/www/mysite/index.html

完成后访问 http://你的域名 和 http://www.你的域名，都应该能看到你的主页。

为什么用 IP 访问看到的是默认页

用域名看到主页，用 IP 看到默认页——这正是 server_name 在起作用。用 IP 访问时请求里的 Host 不是你的域名，匹配不上你的站点，于是交给系统默认站点处理。可以在服务器上用 curl 手动指定 Host 亲眼验证：

curl -H "Host: 你的域名" http://127.0.0.1     # 返回你的主页内容
curl http://127.0.0.1 | head -5              # 不带域名 → 默认测试页

2.6排障实验：亲手制造一次 403

403 Forbidden 最常见的原因是文件权限不对。我们制造一次，再通过日志找到原因、修好它。

echo "<h1>test</h1>" > /var/www/mysite/test.html
chmod 600 /var/www/mysite/test.html
curl -I -H "Host: 你的域名" http://127.0.0.1/test.html    # 结果：403 Forbidden

文件明明属于 study，为什么 Nginx 读不了？因为 Nginx 不是以 study 的身份运行的：

ps -o user= -C nginx | sort -u                    # root（主进程）、nginx（工作进程）
ls -l /var/www/mysite/                            # test.html 是 -rw-------
sudo tail -3 /var/log/nginx/mysite_error.log      # (13: Permission denied)

对 nginx 用户来说，test.html 属于"其他人"的文件，600 不允许其他人读取，于是 403。放宽权限即可：

chmod 644 /var/www/mysite/test.html
curl -I -H "Host: 你的域名" http://127.0.0.1/test.html    # 200 OK
rm /var/www/mysite/test.html

2.7看见你的第一位访客

sudo tail -f /var/log/nginx/mysite_access.log

同学用手机每刷新一次，屏幕上就多一行：来访 IP、访问时间、访问页面、返回状态码、所用浏览器。日志是运维最重要的信息来源——网站出问题，第一件事就是看日志。

2.8故障速查与合规提醒

3.1你的网站正在"裸奔"

访问 http:// 时浏览器标注"不安全"，不是危言耸听：HTTP 传输的所有内容都是明文，中间经过的每一台网络设备都能原样看到。我们亲手"偷看"一次自己网站的流量。

sudo dnf install -y tcpdump

sudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User-Agent|<title>"

请同学用手机访问你的站点，屏幕上会直接出现：请求了哪个页面（GET /）、访问的是哪个域名（Host:）、用的什么手机和浏览器（User-Agent），甚至网页标题。如果页面里有登录表单，账号密码也会被看得一清二楚。按 Ctrl+C 停止，最后我们会再抓一次做对比。

3.2HTTPS 与证书的原理

HTTPS 就是 HTTP 加上 TLS 加密，它解决两个问题：

• 加密：传输内容变成只有浏览器和服务器能解开的密文；
• 身份认证：证明你连的确实是这个域名的真实服务器，而不是中间的冒充者。

身份认证靠数字证书——网站的"身份证"，上面写明这张证书属于哪些域名、由谁颁发、什么时候到期。身份证要公安机关签发才可信，证书也要由 CA（证书颁发机构） 签发；浏览器和操作系统内置了一份受信任 CA 名单，只有名单上的 CA 签发的证书，浏览器才显示安全锁。本章用 Let's Encrypt，一个免费、全自动的公益 CA。

CA 怎么确认域名是你的：HTTP-01 验证

1. 你在服务器上运行 certbot，向 Let's Encrypt 申请证书；
2. Let's Encrypt 交给 certbot 一串随机内容，要求放到 http://你的域名/.well-known/acme-challenge/一串随机文件名；
3. certbot 把这个文件写进网站目录 /var/www/mysite；
4. Let's Encrypt 从互联网访问这个地址，读到正确内容就证明你控制着这个域名和服务器，于是签发证书。

3.3开放 443 端口

安全组：入方向添加 TCP 443，授权对象 0.0.0.0/0（控制台通常有"HTTPS(443)"快速选项）。

sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

3.4申请证书

certbot 是 Let's Encrypt 官方推荐工具，位于 EPEL 扩展源中（第 1 讲装 fail2ban 时已装过 EPEL）。

sudo dnf install -y certbot
certbot --version

sudo certbot certonly --webroot -w /var/www/mysite \
  -d example.com -d www.example.com \
  -m 你的邮箱 --agree-tos --no-eff-email --dry-run

行尾反斜杠表示"命令没写完，下一行接着写"，三行合起来是一条命令。失败就按"解析、80 端口、Nginx"三个方向逐一检查，修好后再演练一次。演练成功，去掉 --dry-run 正式申请，看到 Successfully received certificate. 即签发成功。

sudo certbot certificates
sudo ls -l /etc/letsencrypt/live/example.com/

privkey.pem 与第 1 讲的 SSH 私钥同一个道理：谁拿到它，谁就能冒充你的网站。它所在目录只有 root 能访问，这是 certbot 有意设置的。

sudo openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem \
  -noout -issuer -dates -ext subjectAltName

3.5配置 Nginx 启用 HTTPS

先备份。注意备份文件名不能以 .conf 结尾，否则会被 Nginx 一并加载，造成重复配置。

sudo cp /etc/nginx/conf.d/mysite.conf /etc/nginx/conf.d/mysite.conf.bak

现在网站分成两部分：80 端口不再直接提供网页，只负责两件事——给续期提供验证文件，把其余请求跳转到 HTTPS；443 端口才真正提供内容。

# ① 80 端口：只做验证 + 跳转
server {
    listen 80;
    server_name example.com www.example.com;

    location /.well-known/acme-challenge/ {
        root /var/www/mysite;              # 续期时 Let's Encrypt 仍通过 HTTP 读这里
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

# ② 443 端口：真正提供内容
server {
    listen 443 ssl;
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;

    root /var/www/mysite;
    index index.html;

    access_log /var/log/nginx/mysite_access.log;
    error_log  /var/log/nginx/mysite_error.log;

    location / {
        try_files $uri $uri/ =404;
    }
}

跳转里的 $host 和 $request_uri 分别代表访问者请求的域名和路径，所以访问 http://www.example.com/about.html 会被准确跳到 https://www.example.com/about.html，而不是一律跳回首页。

sudo nginx -t
sudo systemctl reload nginx

浏览器访问 http://你的域名，地址会自动变成 https://，出现锁图标。点开可看颁发者和有效期，应与 3.4 查到的一致。也可以在本机精确验证（Windows PowerShell 里要写 curl.exe，因为 curl 是另一个命令的别名）：

curl.exe -I http://example.com          # 301 Moved Permanently，Location 指向 https://
curl.exe -I https://example.com         # 200 OK
curl.exe -I https://www.example.com     # 200 OK

3.6配置自动续期

certbot 自带 systemd 定时器 certbot-renew.timer，每天检查、到期前约 30 天自动续期。安装后它不一定已启用，要主动启用并确认。

sudo systemctl enable --now certbot-renew.timer
systemctl list-timers 'certbot*'

续期只更新磁盘上的证书文件，Nginx 不会自动读新证书，必须重载一次。certbot 为此提供钩子机制：放在 /etc/letsencrypt/renewal-hooks/deploy/ 下的脚本，会在每次续期成功后自动执行。

#!/bin/bash
systemctl reload nginx

sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
sudo /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
systemctl is-active nginx          # 应显示 active

sudo certbot renew --dry-run

3.7再抓一次包：HTTPS 的流量长什么样

sudo tcpdump -i any -A -nn -c 40 'tcp port 443'

请同学用手机访问 https://你的域名，与 3.1 对比：看不到 GET、User-Agent，也看不到网页标题，屏幕上全是乱码。

3.8验证清单与故障速查

★ 作品一完成：带 HTTPS 安全锁的个人主页。本讲无需提交新材料，老师会统一检查你的 https://域名。