Linux 管理过程中，关闭 22 端口，只使用 vnc 管理是否更安全？

[Features]

昨晚看到爆出的 ssh 漏洞冒了一身冷汗，我的服务器刚好处于受害的版本内
立刻去安全组中关闭了 22 端口，只留了 3306 和 80 ，443 这三个端口
服务器统一用服务商的 vnc 进行管理

这样是否更安全一点？

[erquren]

升级 ssh 解决

[busier]

标准的 vnc 协议是无加密明文传输的

再说了，更新下 sshd 要花钱吗？

[duanxianze]

3306 更不安全吧？

[superrichman]

公网数据库，完美的靶子

[churchmice]

看完就感觉挺无语的
为嘛你觉得 80,443 端口安全呢？ apache/nginx/php 暴的漏洞还少吗？ 3306 就更不用说了

[laikick]

请使用 零信任.

[selfly]

后知后觉了，吓的我赶紧去看了下我暴露在公网的树莓派，还好树莓派 OpenSSH_8.4p1 不在漏洞版本范围内

[Features]

@busier
@erquren
主要是几十台服务器，我寻思着关了端口不是更快一点嘛

[Features]

@erquren
@duanxianze
局域网组网做读写分离必须要开咋办啊？😭
只有一个本地 root 用户和特定 ip 的用户

[Features]

@churchmice 80 和 443 必须要开，有漏洞也没法子了。。。

[gesse]

改成非 22 端口，应该 99.999%避免所有

[yangg]

@erquren ubuntu 22.04 怎么升级？
阿里云的切到 ubuntu 官方镜像，还是

sudo apt full-upgrade
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
Calculating upgrade... Done
Get more security updates through Ubuntu Pro with 'esm-apps' enabled:
gsasl-common libgsasl7
Learn more about Ubuntu Pro at https://ubuntu.com/pro
#
# OpenSSH CVE-2024-6387 has been fixed for 22.04 LTS, 23.10 and 24.04 LTS.
# RegreSSHion: Possible RCE Due To A Race Condition In Signal Handling.
# For more details see: https://ubuntu.com/security/notices/USN-6859-1.
#
The following packages have been kept back:
python3-update-manager ubuntu-advantage-tools update-manager-core
0 upgraded, 0 newly installed, 0 to remove and 3 not upgraded.
➜ apt apt policy openssh-server
openssh-server:
Installed: 1:8.9p1-3ubuntu0.10
Candidate: 1:8.9p1-3ubuntu0.10
Version table:
*** 1:8.9p1-3ubuntu0.10 500
500 http://archive.ubuntu.com/ubuntu jammy-updates/main amd64 Packages
500 http://security.ubuntu.com/ubuntu jammy-security/main amd64 Packages
100 /var/lib/dpkg/status
1:8.9p1-3 500
500 http://archive.ubuntu.com/ubuntu jammy/main amd64 Packages

[retanoj]

OP 看完楼里回复，一总结发现：就啥也不让开呗

[totoro625]

几十台服务器，留一台作为堡垒机不行吗，所有服务器都配置 22 端口白名单给指定服务器

[ladeo]

VNC 也不安全啊

[shakeyo]

@churchmice 看完你这言论也挺无语的，意思是什么端口不暴露就安全是吗，因噎废食吗？

[DefoliationM]

端口全关了，用 tailscale 连

[laminux29]

任何接入方案都可能有漏洞。企业级的安全做法是，多层接入方案，来提高整体安全性。比如 Linux 的 VPN + OpenBSD 的 SSH + Windows 的 RDP ，3 套连接方案一起用，再加上 fail2ban + 地域 IP 白名单 + IPS ，3 层安全，不仅黑客进不去，自己也进不去。你就说安不安全。

[wowbaby]

为啥喜欢默认端口？我改至少 4 位数的端口，服务过那么多小企业，服务器从上线就没安全更新过，也没见过有事的，每天一堆的扫描，看到很多有事的都是用的 web 开源程序的漏洞导致。

[devswork]

@laminux29 #18 安全，安全了！ 哈哈哈哈哈哈哈，自己都进不去，笑死了