苏叶荷的服务器安全之路

苏苏的服务器于2024年9月19日正式成立，目前正满服务器的广阔领域中不断探索与前行。在此，我诚挚地邀请您对我的服务器提出宝贵的见解和建议。

服务器信息

• 服务器使用的系统版本Debian11
• 1Panel社区版来管理web服务器。（专业版推荐码：xiaomi）

目前，在苏苏的服务器搭建了WordPress博客平台 www.suyehe.com和导航站平台dh.suyehe.com 两个web服务。

安全设置

苏苏的服务器采用了一系列先进且全面的安全措施来确保服务器的稳定与安全运行，具体包括：

UFW（Uncomplicated Firewall）：我们配置了UFW防火墙，为服务器提供了强大的访问控制功能。通过精细配置规则，我们能够允许或拒绝特定类型的网络流量，从而保护服务器免受潜在威胁的侵扰。
1.两步验证：我们实施了严格的两步验证机制，为账户登录过程增加了额外的安全层。这一措施有效防止了未经授权的访问，即使密码被泄露，也能大大降低账户被非法登录的风险。
2.HTTPS协议：所有数据传输均通过HTTPS协议进行加密，确保数据在传输过程中的安全性和完整性。这有助于保护用户隐私，防止敏感信息被截获或篡改。
3.流量限制：为了抵御DDoS等流量攻击，我们实施了智能的流量限制策略。这些策略能够识别并过滤掉异常流量，保护服务器免受恶意攻击的影响，确保服务的连续性和可用性。
4.Fail2ban：Fail2ban是一个强大的入侵预防软件，它通过分析日志文件来识别并阻止多次尝试登录失败的IP地址。这一措施有效防止了暴力破解等攻击手段，进一步增强了服务器的安全性。

两步验证

1Panel 是一个现代化、开源的 Linux 服务器运维管理面板，登录1Panel等同于获取了服务器的root权限。两步验证（也称为双因素认证）确实是一种非常有效的安全措施，它要求用户在登录时除了输入用户名和密码外，还需要提供一个动态验证码。这个动态验证码是通过微软Authenticator生成的，每次登录时都会生成一个新的、一次性的验证码。

当账号密码泄露了，攻击者也无法通过这些信息登录系统，因为他们还需要获取动态验证码。这样一来，大大提高了系统的安全等级。

步骤：
面板设置 – 安全 – 两步验证

HTTPS协议

为1Panel设置 https 协议访问，确保数据在传输过程中的安全性和完整性。

步骤：
面板设置 – 安全 – 面板 SSL
证书创建步骤：网站 – 证书 – Acme 账户 – 创建（输入邮箱确定） – 申请证书 – 填写域名 -选择Acme账户 – 验证方式（HTTP）

流量限制

流量限制设置访问网站的并发数量、单IP限制和请求流量限制，苏苏的网络日记就我和有缘人看，不需要太多的并发和请求，无需支持高并发和请求量，太多小服务器也扛不住啊。
步骤：

Fail2ban

今早看服务器的登录日志，两百多页的登陆失败日志，全球各地的ip疯狂撞库。在日志上面提示可通过工具箱中的 Fail2ban 屏蔽暴力破解 IP。1Panel未提供一键安装Faile2ban，需要手动安装。

步骤：
1、安装 Fail2ban
sudo apt-get install fail2ban
2、Debian 12 及以上的版本需要手动安装 rsyslog
sudo apt-get install rsyslog
3、启动 Fail2ban 服务
sudo systemctl start fail2ban
4、开机自启动
sudo systemctl enable fail2ban

手动安装完成后就可以在工具箱中看到Fail2ban，使用图形化配置策略。设置后还是有各地的登录日志，只是日志的增长频率降低了

UFW

看着登录日志还有低频的登录日志，在翻看1Panel的手册时看到防火墙里有禁止ping的功能，想着是不是可以开启这功能，攻击者ping不到服务器，认为这服务器不在线就不攻击了。防火墙和Fail2ban一样需要手动安装

步骤：
1安装 UFW
sudo apt install ufw
2、如果你在远程位置连接你的服务器，在启用 UFW 防火墙之前，你必须显式允许进来的 SSH 连接。否则，你将永远都无法连接到机器上。
sudo ufw allow 22/tcp
\\如果 SSH 运行在非标准端口，你需要将上述命令中的 22 端口替换为对应的 SSH 端口。
3、放开 1Panel 系统端口。
sudo ufw allow 8090/tcp
\\上述命令中的 8090 端口需要替换为安装 1Panel 系统时自定义的端口。
4、启动 UFW
sudo ufw enable

写到这里时，困了。
起床接着写发现天塌了

服务器禁止ping有什么用？服务器禁止ping（也称为禁用ICMP Echo请求响应）是一种网络安全措施，它在多个层面上提供了保护。以下是禁止ping的一些主要作用：
1.隐藏服务器存在：通过不响应ICMP Echo请求（即ping请求），服务器能够在一定程度上隐藏自己的存在。这可以防止潜在的攻击者通过扫描网络来发现服务器，进而将其作为攻击目标。虽然这种方法并不能完全阻止所有形式的扫描和攻击，但它能增加攻击者发现服务器的难度，为服务器提供一层额外的保护。2.减少不必要的流量：如果服务器响应所有的ping请求，那么在网络中可能会有大量的ICMP Echo请求和响应包被交换，这些包可能来自于合法的网络管理操作，但也可能来自于恶意扫描或网络测试。禁止ping可以减少这种不必要的网络流量，有助于保持网络的清洁和高效。
3.防止拒绝服务攻击（DoS）：虽然ICMP洪水攻击（即大量发送ICMP请求以耗尽目标系统的资源）并不是最常见的DoS攻击形式，但禁止ping可以降低这种攻击的风险。通过不响应ICMP请求，服务器能够避免成为ICMP洪水攻击的目标。
4.增强安全性感知：通过实施禁止ping的策略，管理员可以向组织内部和外部传达出对服务器安全性的重视。这种措施表明，服务器已经采取了一定的安全措施来防止潜在的网络攻击，从而提高了整体的安全性感知。
5.符合安全策略：在某些行业或组织中，禁止ping可能是安全策略的一部分。这些策略可能要求所有服务器和关键网络设备都遵循特定的安全准则，包括不响应ICMP请求。通过遵守这些策略，组织可以确保其网络基础设施的安全性符合行业标准和法规要求。

需要注意的是，虽然禁止ping可以提供一定的安全保护，但它并不是一种万能的解决方案。攻击者仍然可以通过其他方式（如端口扫描、漏洞利用等）来发现和攻击服务器。因此，在实施禁止ping策略的同时，还需要结合其他安全措施来确保服务器的安全。
来自文学一言的回答

开启禁止ping后，确实一个小时都没有登录日志。然而今早起床一看冒出几十条登录日志。对禁止ping陷入了怀疑，先把ssh换个端口吧。

不如问问AI

新设置

针对AI的回答做了如下新设置：

1. 禁用密码登录，开启密钥认证。
2. 开启WAF。
3. 1Panel整体每周备份至云盘。