Fail2ban 防暴力破解 SSH#

执行以下命令安装 Fail2ban：

1
sudo apt install fail2ban

官方推荐的做法是利用 jail.local 来进行自定义设置：

1
sudo vim /etc/fail2ban/jail.local

可以参照以下配置文件来进行自己的配置（记得删注释）：

1
[sshd]
2
ignoreip = 127.0.0.1/8 # 白名单
3
enabled = true
4
filter = sshd
5
port = 22 # 端口，改了的话这里也要改
6
maxretry = 5 # 最大尝试次数
7
findtime = 300 # 多少秒以内最大尝试次数规则生效
8
bantime = 600 # 封禁多少秒，-1是永久封禁（不建议永久封禁）
9
action = %(action_)s[port="%(port)s", protocol="%(protocol)s", logpath="%(logpath)s", chain="%(chain)s"] # 不需要发邮件通知就这样设置
10
banaction = iptables-multiport # 禁用方式
11
logpath = /var/log/auth.log # SSH 登陆日志位置

通知服务器SSH登录#

可以通过 PAM 模块在每次ssh登录时触发脚本来实现。

编辑/etc/pam.d/sshd，在文件末尾添加：

1
session    optional    pam_exec.so 脚本路径

对于提到的用例，脚本大致如下： 参照：https://developer.work.weixin.qq.com/document/path/91770

2024年11月26日注：修复了示例脚本的一些问题。

1
# 创建脚本存放路径
2
mkdir -p /opt/scripts
3
# 写入脚本内容
4
cat > /opt/scripts/login_notify.sh <<'EOF'
5
#!/bin/bash
6

7
# 只在会话建立时触发，过滤掉 close_session 等类型
8
if [ "$PAM_TYPE" != "open_session" ]; then
9
    exit 0
10
fi
11

12
# 1. 获取基础变量
13
user_name=$PAM_USER
14
remote_ip=$PAM_RHOST
15
login_time=$(date +"%Y-%m-%d %H:%M:%S")
16

17
# 2. 获取本机信息
18
local_hostname=$(hostname)
19
# 获取本机公网IP (增加3秒超时，防止获取失败导致登录卡顿)
20
local_ip=$(curl -s --connect-timeout 3 ifconfig.me || echo "未知/内网")
21

22
# 3. 配置 Webhook 地址
23
webhook_url="https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=b14bc0dc-xxxx"
24

25
# 4. 发送通知
26
# --connect-timeout: 连接超时
27
# --max-time: 整个请求超时
28
curl -s -X POST "$webhook_url" \
29
    --connect-timeout 5 \
30
    --max-time 10 \
31
    -H "Content-Type: application/json" \
32
    -d "{
33
    \"msgtype\": \"markdown\",
34
    \"markdown\": {
35
        \"content\": \"### 🖥️ 服务器登录提醒\n> **登录机器**: $local_hostname ($local_ip)\n> **登录用户**: <font color=\\\"info\\\">$user_name</font>\n> **客户端IP**: $remote_ip\n> **登录时间**: $login_time\"
36
    }
37
}" > /dev/null 2>&1
38
EOF
39

40
chmod +x /opt/scripts/login_notify.sh
41
cat >> /etc/pam.d/sshd <<'EOF'
42
session    optional    pam_exec.so /opt/scripts/login_notify.sh
43
EOF

请根据自己的用例替换api及调用方式。

钉钉

1
# 创建脚本存放路径
2
mkdir -p /opt/scripts
3

4
# 写入脚本内容
5
cat > /opt/scripts/login_notify.sh <<'EOF'
6
#!/bin/bash
7

8
# 只在会话建立时触发，过滤掉 close_session 等类型
9
if [ "$PAM_TYPE" != "open_session" ]; then
10
    exit 0
11
fi
12

13
# 1. 获取基础变量
14
user_name=$PAM_USER
15
remote_ip=$PAM_RHOST
16
login_time=$(date +"%Y-%m-%d %H:%M:%S")
17

18
# 2. 获取本机信息
19
local_hostname=$(hostname)
20
# 获取本机公网IP (增加3秒超时，防止获取失败导致登录卡顿)
21
local_ip=$(curl -s --connect-timeout 3 ifconfig.me || echo "未知/内网")
22

23
# 3. 配置钉钉机器人
24
access_token="*********************************************"
25
# 若机器人安全设置选了"加签"，把密钥填这里；选"自定义关键词"则留空
26
secret="********************************************"
27

28
webhook_url="https://oapi.dingtalk.com/robot/send?access_token=${access_token}"
29

30
# 4. 加签处理（未开启加签时 secret 为空，自动跳过）
31
if [ -n "$secret" ]; then
32
    timestamp=$(date +%s%3N)
33
    sign=$(printf '%s\n%s' "$timestamp" "$secret" \
34
        | openssl dgst -sha256 -hmac "$secret" -binary \
35
        | base64 -w 0 \
36
        | sed 's/+/%2B/g; s|/|%2F|g; s/=/%3D/g')
37
    webhook_url="${webhook_url}&timestamp=${timestamp}&sign=${sign}"
38
fi
39

40
# 5. 发送通知
41
# --connect-timeout: 连接超时
42
# --max-time: 整个请求超时
43
curl -s -X POST "$webhook_url" \
44
    --connect-timeout 5 \
45
    --max-time 10 \
46
    -H "Content-Type: application/json" \
47
    -d "{
48
    \"msgtype\": \"markdown\",
49
    \"markdown\": {
50
        \"title\": \"服务器登录提醒\",
51
        \"text\": \"### 🖥️ 服务器登录提醒\n\n> **登录机器**：${local_hostname} (${local_ip})\n\n> **登录用户**：${user_name}\n\n> **客户端IP**：${remote_ip}\n\n> **登录时间**：${login_time}\"
52
    }
53
}" > /dev/null 2>&1
54
EOF
55

56
chmod +x /opt/scripts/login_notify.sh
57

58
# 注册到 PAM（保持不变）
59
cat >> /etc/pam.d/sshd <<'EOF'
60
session    optional    pam_exec.so /opt/scripts/login_notify.sh
61
EOF

用root用户执行上述脚本一键部署。

【严格】使用绝对路径运行命令#

使用绝对路径可以精准指定要运行的程序或文件，可避免因环境变量被篡改等原因误执行潜在的恶意程序。

启用 UFW 防火墙#

[!note] 如果 VPS 厂商提供了防火墙功能，且没有复杂的需求，可以忽略本节内容并使用 VPS 厂商提供的防火墙（安全组）。

在正式启用 UFW 之前，我们需要先设置规则。我们首先来设置 UFW 的默认行为：

1
sudo ufw default allow outgoing # 默认允许所有数据出站
2
sudo ufw default deny incoming # 默认禁止所有数据入站

我们可以通过以下命令查看 UFW 当前生效的规则：

1
sudo ufw status
2
sudo ufw status numbered  # 加上数字编号

我们可以通过以下命令允许或拒绝某端口的传入 / 传出流量（部分以 22、80、443 端口为例）：

1
# 允许22端口的proto协议的流量入站
2
sudo ufw allow in 22/proto
3

4
#允许22端口的proto协议的流量出站
5
sudo ufw allow out 22/proto
6

7
# 在未指定in/out的情况下，默认为in
8
sudo ufw allow 22/proto
9

10
# 在未指定proto的情况下，默认为tcp和udp
11
sudo ufw allow 22
12

13
# 拒绝的话就把allow改成deny
14
sudo ufw deny 22
15

16
# 允许从start_port到end_port的端口
17
sudo ufw allow start_port:end_port
18

19
# 允许复数个端口，以英文逗号分隔
20
sudo ufw allow port1,port2
21

22
# 允许来自于特定ip或cidr段的流量
23
sudo ufw allow from ip/cidr
24

25
# 允许来自于特定ip或cidr段端口22的流量
26
sudo ufw allow from ip/cidr to any port 22
27

28
# 允许来自于特定ip或cidr段端口22的tcp协议的流量
29
sudo ufw allow from ip/cidr to any proto tcp port 22
30

31
# 如果指定复数个端口，则必须指定协议
32
sudo ufw allow from ip to any proto tcp port 80,443
33

34
# comment用于注释
35
sudo ufw allow from ip to any proto tcp port 80,443 comment "hello"

我们可以通过以下命令删除生效的规则：

1
sudo ufw delete allow 22 # 在规则前面加个delete
2
sudo ufw delete 1 # 按照numbered的编号删除也行

在确定所有规则均成功设置后，通过以下命令启动 \ 关闭 \ 重启 UFW

[!caution] 启动防火墙前务必保证 22 端口（或者其他 SSH 端口）被放行。

1
sudo ufw enable|disable|reload

如果需要重置规则，请使用：

[!caution] 重置规则前务必保证 UFW 处于关闭状态。

1
sudo ufw reset

本人建议仅放行正在使用的端口，比如22、80、443。

默认情况下，UFW仅记录不符合规则的被拒绝的数据包。如果需要记录与该服务相关的每个详细信息，可以在allow后加上log以进行记录。

1
ufw allow log 22/tcp

禁止ping服务器#

1. 使用 iptables 禁止ping

• 查看当前iptables规则：

  • iptables -L -n
  • 这条命令可以列出当前iptables的规则，-L表示列出规则，-n表示以数字形式显示 IP 地址和端口号，而不是解析为主机名和服务名。

• 禁止 ping（入站 ICMP Echo Request）：

  • iptables -A INPUT -p icmp —icmp - type 8 -j DROP
  • 这里-A INPUT表示在INPUT链（用于处理进入本机的数据包）的末尾添加一条规则。-p icmp指定协议为 ICMP，—icmp - type 8表示 ICMP 类型为 8（即 Echo Request），-j DROP表示将匹配的数据包丢弃。

• 保存iptables规则（如果需要永久生效）：

  • 对于不同的 Linux 发行版，保存iptables规则的方式不同。
  • 在 CentOS 等基于 RHEL 的系统中，可以使用service iptables save命令来保存规则。这条命令会将当前的iptables规则保存到/etc/sysconfig/iptables文件中，这样在系统重启后规则依然生效。
  • 在 Ubuntu 等 Debian 系系统中，需要安装iptables - persistent软件包。安装后可以使用iptables - save > /etc/iptables/rules.v4（对于 IPv4 规则）来保存规则，这样在系统重启后也能恢复规则。

• 恢复 ping 功能 如果要恢复 ping 功能，可以删除刚才添加的禁止 ping 的规则。使用iptables -D INPUT -p icmp —icmp - type 8 -j DROP命令。其中-D INPUT表示从INPUT链中删除规则，其他参数和添加规则时相同。

保守起见，与destination-unreachable、time-exceeded、parameter-problem相关的规则已移除。

ufw本身没有直接支持阻止icmp协议的命令。ufw在/etc/ufw/before.rules中定义了针对ping的允许规则，我们可以修改ACCEPT为DROP来达成禁止ping的目的：

1
-A ufw-before-input -p icmp --icmp-type echo-request -j DROP
2
-A ufw-before-forward -p icmp --icmp-type echo-request -j DROP

这个只能禁v4的

如果需要设置ipv6的禁ping规则，可以修改/etc/ufw/before6.rules ：

1
-A ufw6-before-output -p icmpv6 --icmpv6-type echo-request -j DROP
2
-A ufw6-before-output -p icmpv6 --icmpv6-type echo-reply -j DROP

注意：其余icmpv6规则应保持不变。

限定SSH登录IP#

我办公室的网络是固定 ip，VPS 运营商的防火墙开 22 端口然后指定 IP 地址，这样以后需要别的 IP 访问的话，直接添加 IP 即可

如果拥有动态公网IP且厂商支持通过接口修改防火墙规则，可以直接使用厂商的接口。

如果是家里没有固定ip的可以使用类似腾讯云的orcaterm终端来访问，基础功能是永久免费的，这是orcaterm的IP段，然后用ipset把这些IP段添加进去，设置为仅这些IP可以访问ssh端口即可，记得设置之前先测试是否可以正常使用连接。如果是腾讯云用户，安全组里甚至可以把ssh端口直接关掉，之前用腾讯云的时候就只开了80和443端口。

也可以使用ufw进行设置。

还可以使用VPS厂商提供的防火墙（如果支持），如果出现连接问题更方便更改配置。

日常更新系统#

个人建议定期登录 VPS 运行sudo apt update && sudo apt upgrade来保证 VPS 内所有软件包均为最新。

不过 Ubuntu 默认会每天自动安装系统的安全更新，所以说这个频率没必要太勤。

开启 Ubuntu Pro#

同样出色的操作系统，更多的安全更新 将平均 CVE（通用漏洞披露）暴露时间从 98 天减少到 1 天 具备扩展的 CVE 补丁、十年的安全维护、可选的支持和对整个开源应用程序堆栈的维护。

上面是 Ubuntu 官方的广告词。到底多有用我不知道，有修复总比没修复好，而且个人免费 5 台机器，开了不亏。

我们先来创建一个 Ubuntu One 帐户：https://ubuntu.com/login

注册结束之后，转到 https://ubuntu.com/pro/dashboard 查看 Token。

得到了Token之后，前往我们的VPS，运行sudo pro attach [YOUR_TOKEN]。等待一段时间，我们的VPS就成功开启Ubuntu Pro了。建议在开启之后再运行一次sudo apt update && sudo apt upgrade以确保系统安装了最新的安全更新。

防止 SSL 证书泄露 IP#

[!note] 本节 “防止 SSL 证书泄露 IP” 引自 “如何避免证书泄露源站 IP”，作者为秋未萌，根据 CC BY-SA 4.0 授权协议发布。本文其他部分根据 CC BY-NC-SA 4.0 授权协议发布，但本节内容使用 CC BY-SA 4.0 授权协议。

1
-----BEGIN CERTIFICATE-----
2
certificate.crt内容
3
-----END CERTIFICATE-----
4
-----BEGIN CERTIFICATE-----
5
ca_bundle.crt内容
6
-----END CERTIFICATE-----

1
server {
2
#HTTP Server Default Set
3
    listen 80;
4
    listen 443 ssl http2 default_server;
5
    server_name ip;
6

7
    #HTTP_TO_HTTPS_END
8
    ssl_certificate /etc/nginx/ip-certificate/certificate.crt;
9
    ssl_certificate_key /etc/nginx/ip-certificate/private.key;
10
    ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
11
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
12
    ssl_prefer_server_ciphers on;
13
    ssl_session_cache shared:SSL:10m;
14
    ssl_session_timeout 10m;
15

16
    #Server ROOT
17
    index index.html;
18
    root /var/www/html/;
19
    index index.html;
20

21
    return 444; #NGINX HTPP Code 444
22

23
}

Nginx 1.19.4 之后的新方法#

如果各位的 Nginx 版本大于等于 1.19.4，可以直接使用 ssl_reject_handshake 配置项，通过简单的配置就能拒绝所有未匹配到域名的 TLS 握手：

1
server {
2
    listen 443 ssl default_server;
3
    server_name _;
4
    ssl_reject_handshake on;
5
}

如果出现如nginx: [emerg] unknown directive “ssl_reject_handshake”的报错，首先请检查nginx版本是否大于等于1.19.4。ssl_reject_handshake on; 在nginx 1.19.4 主线版加入。 如果是通过源代码编译安装的，请确认ngx_http_ssl_module模块是否启用。 该模块不是默认构建的，需要通过 --with-http_ssl_module 配置参数来启用。

真的安全了吗#

前文中，我们只能确保攻击者无法通过直接访问 ip 获取默认证书来推断域名信息。然而又没有规定说攻击者只能用这种方式获取 IP 与域名的对应关系。可以看出，前文的规则依赖于 server_name 的匹配。攻击者完全可以携带正确的 server_name 握遍所有可能的非已知 CDN 的 IP 段，记录正确响应的目标。下面是判断（不包含遍历）的简单实现：

1
# https://gist.github.com/Raven95676/39ffdba22144e39d7155ad9dc1bcca55
2
import ssl
3
import socket
4
def check(ip, domain):
5
    try:
6
        context = ssl.create_default_context()
7
         with socket.create_connection((ip, 443)) as sock:
8
            with context.wrap_socket(sock, server_hostname=domain) as ssl_sock:
9
                request = f"GET / HTTP/1.1\nHost: {domain}\nConnection: close\n\n"
10
                ssl_sock.sendall(request.encode())
11
                ssl_sock.recv(4096)
12
        return True
13
    except Exception:
14
        return False
15

16
print(check("192.168.0.256", "example.com"))

于是我们打个补丁#

如果 VPS 厂商提供了防火墙功能，可以直接使用 VPS 厂商提供的防火墙。

我们可以仅允许 CDN 的 CIDR 段访问服务器的 80/443 端口。先来添加允许的规则：

1
sudo ufw allow from "cidr段" to any proto tcp port 80,443 comment "CDN服务商"

comment 不是必须的，只是为了方便日后能认出来这规则是干什么的才加上的。

CDN 的 CIDR 段去找 cdn 服务商要，有的在官网也有公示。比如 Cloudflare 的CIDR 段可以从这个网页获取：https://www.cloudflare.com/ips-v4 上面那个是 ipv4 的，ipv6 的可以从这个网页获取：https://www.cloudflare.com/ips-v6

对于 Cloudflare ，还有佬友编写的脚本可以在执行后更新 CF IP 到 ufw 443。

1
RULES=$(sudo ufw status numbered | grep 'Cloudflare IP' | awk -F"[][]" '{print $2}' | sort -nr)
2
for RULE in $RULES; do
3
    echo "Deleting rule $RULE"
4
    echo "y" | sudo ufw delete $RULE
5
done
6

7
for cfip in `curl -sw '\n' https://www.cloudflare.com/ips-v{4,6}`; do ufw allow proto tcp from $cfip to any port 443 comment 'Cloudflare IP'; done
8

9
ufw reload > /dev/null

由于特殊情况的存在，本人建议在部署该脚本之前先执行以下命令查看是否正确输出。

1
for cfip in `curl -sw '\n' https://www.cloudflare.com/ips-v{4,6}`; do echo $cfip; done

如果输出正常（如下），则可以部署：

1
173.245.48.0/20
2
103.21.244.0/22
3
…略
4
2400:cb00::/32
5
2606:4700::/32
6
…略

添加完了之后我们使用以下命令查看防火墙现有规则列表：

1
sudo ufw status numbered

使用以下命令删除之前可能存在的针对 80 和 443 端口允许所有流量的规则：

1
sudo ufw delete 序号

为什么不直接使用 Nginx 的 deny 配置项呢？因为 deny 会返回 403 Forbidden 状态码，而在此之前必须完成 TLS 握手。只有在 TLS 握手成功后，客户端才能发送 HTTP 请求并接收到响应。如果直接使用 deny，我们相当于在做无用功。

真的安全了……吗？#

这其实算是 Cloudflare 特辑，不过如果使用其他 CDN 提供商，为了增强安全性也可以参考。众所周知，Cloudflare 不仅提供 CDN 服务，还有一系列其他产品，比如 Workers 和 WARP。而这些服务有一些需要注意的特点：

• 能对外发出请求
• 用的是 Cloudflare 的 IP 段

虽然 Cloudflare 对于滥用肯定是限制的，但是为了以防万一，我们还可以再做点安全措施 —— 经过身份验证的源服务器拉取。

必须确保SSL/TLS加密模式为完全或者完全（严格）

下载Cloudflare证书并进行配置即可。

1
ssl_client_certificate 证书地址;
2
ssl_verify_client on;

然后在 SSL/TLS→源服务器这里开启经过身份验证的源服务器拉取。

雷池WAF社区版目前暂时无法稳定使用此方法，除非乐意在雷池前面再叠一层反代。

Docker基本使用#

https://yeasy.gitbook.io/docker_practice

更新：添加Docker官中文档。

https://docs.docker.net.cn/manuals/

UFW管不了Docker的解决方案（推荐）#

没必要用ufw来管理docker的端口开放，docker会自己写入iptables规则用以管控端口，以docker compose为例：

1
ports:
2
      - 127.0.0.1:端口:端口

1
ports:
2
      - 端口:端口

1
services:
2
    rsshub:
3
        image: diygod/rsshub:latest
4
        restart: always
5
        ports:
6
            - 127.0.0.1:1200:1200
7
        environment:
8
            NODE_ENV: production
9
            CACHE_TYPE: redis
10
            REDIS_URL: "redis://redis:6379/"
11
            PUPPETEER_WS_ENDPOINT: "ws://browserless:3000"
12
        env_file:
13
            - .env
14
        healthcheck:
15
            test: ["CMD", "curl", "-f", "http://localhost:1200/healthz"]
16
            interval: 30s
17
            timeout: 10s
18
            retries: 3
19
        depends_on:
20
            - redis
21
            - browserless
22

23
    browserless:
24
        image: browserless/chrome
25
        restart: always
26
        ulimits:
27
            core:
28
                hard: 0
29
                soft: 0
30
        healthcheck:
31
            test: ["CMD", "curl", "-f", "http://localhost:3000/pressure"]
32
            interval: 30s
33
            timeout: 10s
34
            retries: 3
35

36
    redis:
37
        image: redis:alpine
38
        restart: always
39
        volumes:
40
            - ./data:/data
41
        healthcheck:
42
            test: ["CMD", "redis-cli", "ping"]
43
            interval: 30s
44
            timeout: 10s
45
            retries: 5
46
            start_period: 5s
47

48
    sb:
49
        image: ghcr.io/sagernet/sing-box
50
        container_name: sb
51
        restart: always
52
        volumes:
53
            - ./sing-box:/etc/sing-box/
54
        command: -D /var/lib/sing-box -C /etc/sing-box/ run

1
networks:
2
  default:
3
    external: true
4
    name: ${DOCKER_MY_NETWORK}
5
services:
6
  mysql:
7
    container_name: mysql8
8
    image: mysql:8
9
    # ports:
10
    #   - "3306:3306"
11
    environment:
12
      TZ: Asia/Shanghai
13
    networks:
14
      default:
15
        ipv4_address: 172.20.0.15
16
    restart: unless-stopped

部署#

有一键部署命令：

1
bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)"

或部署LTS版本：

1
RELEASE=lts bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)"

由于本用例在雷池WAF前套了一层Cloudflare，所以说需要将防护站点→全局配置→源 IP 获取方式设置为“取 X-Forwarded-For 中上一级代理的地址”

如果出现其他问题，可前往官方文档 https://docs.waf-ce.chaitin.cn/zh/%E5%B8%B8%E8%A7%81%E9%97%AE%E9%A2%98%E6%8E%92%E6%9F%A5 查询。

使用域名访问雷池控制台的问题#

如果我们需要通过域名访问雷池控制台，会发现启用 Cloudflare 小黄云后，域名访问无法实现。这是因为 Cloudflare 的端口转发仅支持其指定的几个端口：

Cloudflare 支持的 HTTP 端口： 80,8080,8880,2052,2082,2086,2095 Cloudflare 支持的 HTTPS 端口： 443,2053,2083,2087,2096,8443

解决方案也很简单，打开 规则→Origin Rules，然后创建规则。传入请求匹配表达式大致如下：

1
(starts_with(http.request.full_uri, "https://域名"))

目标端口设置重写到9443即可

为了隐藏公网IP，请设定限定仅cloudflare cdn cidr段访问9443端口的防火墙规则。

重定向问题#

如果重定向时 URL 中意外出现端口号，可通过防护站点→站点详情→自定义 NGINX 配置添加以下内容进行解决：

1
proxy_redirect https://$host:[port] https://$host;

使用 WireGuard 隐藏管理面板#

对于VPS的管理面板，不要将管理面板（例如长亭WAF、宝塔面板等）暴露到公网 使用Wireguard等VPN访问是更加安全的选择 Wireguard可以在Installation - WireGuard查看到详细的安装方式

或者也非常推荐使用 https://netbird.io/