我的运维笔记

第 1 讲 服务器安全加固

课程目标

对 Rocky Linux9 服务器做安全加固：配置SSH密钥登录、安全组+主机防火墙两层防护、fail2ban自动封禁暴力破解，掌握VNC自救方式。

核心知识点

• 服务器接入公网就会遭受SSH暴力破解，攻击者批量尝试账号密码。
• 两种登录通道：SSH（含Workbench）走22端口，受sshd配置影响；VNC是带外管理通道，不走网络端口，作为故障自救后路。
• SSH密钥认证：私钥保存在本地绝不外传，公钥放到服务器authorized_keys。服务器出题，私钥解密完成登录。
• 运维三习惯：私钥永不外传；改配置留后路(VNC)；先验证再收口。
• 文件权限陷阱：.ssh目录700，authorized_keys文件600，权限过松SSH拒绝密钥登录。
• 安全组是云平台层防火墙；firewalld是系统内部防火墙，两层都需要配置，遵循最小开放原则。
• ICMP协议没有端口概念，安全组显示“任何端口”不等于开放所有端口，ping依赖ICMP。
• fail2ban监控登录日志，识别暴力破解IP自动封禁；Rocky9需要backend=systemd读取systemd日志。

关键命令

# 查看ssh登录失败日志
sudo journalctl -u sshd | grep -i "failed" | tail -30

# 创建普通用户study，加入wheel组获得sudo权限
sudo adduser study
sudo passwd study
sudo usermod -aG wheel study

# 本地电脑生成ed25519密钥对
ssh-keygen -t ed25519 -C "名字-服务器加固"

# 设置ssh密钥目录与文件权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

# 测试sshd配置语法，重载配置
sudo sshd -t
sudo systemctl reload sshd

# firewalld永久放行ssh服务并生效
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

# 安装epel源与fail2ban
sudo dnf install -y epel-release
sudo dnf install -y fail2ban
sudo systemctl enable --now fail2ban

# 查看fail2ban的sshd防护状态
sudo fail2ban-client status sshd

# 检查sudo配置语法，防止sudo配置写错全部sudo失效
sudo visudo -c

第 2 讲 网站上线：域名解析与Nginx个人主页

课程目标

配置DNS域名解析，安装Nginx，发布带ICP备案号的静态个人主页；排查403、404、连接超时等网站故障。

核心知识点

• DNS域名系统：域名和IP互相翻译；A记录把域名指向IPv4地址；@代表主域名，www代表www子域名；TTL是DNS缓存时间。
• 网站上线三环节：DNS解析、安全组+防火墙开放80端口、Nginx提供web服务。
• Nginx依靠HTTP请求的Host头(server_name)区分不同网站；IP访问不匹配server_name会打开Nginx默认页面。
• 网站目录权限：目录755，网页文件644；Nginx工作进程以nginx用户运行，权限不足会出现403 Forbidden。
• 排障优先看Nginx错误日志；修改Nginx配置先nginx‑t语法校验再reload重载。
• 国内网站首页底部必须放置ICP备案号并链接工信部备案网站，属于合规强制要求。

关键命令

# nslookup验证域名解析
nslookup 你的域名
nslookup www.你的域名

# firewalld放行http(80端口)
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

# 安装启动Nginx
sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl status nginx
nginx -v

# 创建网站目录，修改属主权限
sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite

# Nginx配置语法检查、重载
sudo nginx -t
sudo systemctl reload nginx

# scp从本地上传网页文件到服务器
scp index.html study@服务器公网IP:/var/www/mysite/

# 实时跟踪Nginx访问日志
sudo tail -f /var/log/nginx/mysite_access.log

# curl模拟指定Host头访问网站
curl -H "Host:你的域名" http://127.0.0.1

# 查看SELinux状态，阿里云Rocky默认为Disabled
getenforce

第 3 讲 HTTPS与证书自动续期

课程目标

理解HTTP明文风险、HTTPS/TLS证书原理；使用certbot申请Let's Encrypt免费证书；配置Nginx HTTPS；配置证书自动续期。

核心知识点

• HTTP是明文传输，网络链路中可以抓取请求内容；HTTPS=HTTP+TLS加密，实现传输加密+服务器身份认证。
• 数字证书相当于网站身份证；Let's Encrypt免费CA机构，证书有效期仅90天，需要自动续期。
• HTTP‑01验证：CA通过80端口访问服务器上的验证文件确认域名所有权，申请、续期都依赖80端口，因此80端口不能关闭。
• 443端口为HTTPS端口；80端口配置301永久重定向跳转到HTTPS。
• 证书私钥privkey.pem严禁泄露，泄露攻击者可以冒充本网站。
• certbot使用--dry-run演练，避免正式环境申请次数超限；deploy钩子可以在证书续期成功后自动重载Nginx。
• HTTPS加密网页内容，但建立连接时SNI的域名是明文，可以被看见。

关键命令

# 安装抓包工具，抓80端口http流量
sudo dnf install -y tcpdump
sudo tcpdump -i any -A -nn 'tcp port 80'

# firewalld放行https(443端口)
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

# 安装certbot工具
sudo dnf install -y certbot
certbot --version

# certbot演练申请证书（webroot模式）
sudo certbot certonly --webroot -w /var/www/mysite \
-d example.com -d www.example.com \
-m 邮箱 --agree-tos --no-eff-email --dry-run

# 正式申请证书（去掉--dry-run）
sudo certbot certonly --webroot -w /var/www/mysite \
-d example.com -d www.example.com \
-m 邮箱 --agree-tos --no-eff-email

# 查看本机所有证书信息
sudo certbot certificates

# 使用openssl查看证书详情
sudo openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem \
-noout -issuer -dates -ext subjectAltName

# 启用certbot自动续期定时器
sudo systemctl enable --now certbot-renew.timer
systemctl list-timers 'certbot*'

# 模拟演练证书续期
sudo certbot renew --dry-run