服务器 80 端口天天被人扫，无奈，求指教

[userlol]

服务器躲在 CloudFlare 后面的，每天各种不正经请求都有：

HEAD http://101.122.123.71/check_p*o*y
GET /HNAP1/ HTTP/1.1
\x43\x12\xa1\x0c
GET /robots.txt

等等等等，UserAgent 更是不计其数，国内外来自全世界的 IP 都有，处理这些东西真的累。

fail2ban 这种亡羊补牢型不喜欢，有没有什么可以防患于未然型的解决方案呢，求推荐。

用的是 nginx，现在想法是给 nginx 设置 UserAgent 白名单，不在白名单以外的 UA 以及非 HTTP 请求一律不相应，不知道有这种插件吗？

另外求一下大家觉得好的 nginx 配置相关的实体书，谢谢

[zktz]

这个对你没什么影响吧

[745839]

有什么可处理的？楼主刚接触网络吗？网络上 24 小时不间断的有肉鸡在扫描各个服务的端口，各服务的弱口令。

[whypool]

正常操作，没啥大惊小怪的

[miyuki]

没啥大惊小怪的，爬虫和各种各样的爆破太多了

[userlol]

@745839 @whypool @zktz
nginx 日志需要定期做处理（不是我来做），目前我只能把不正常请求里面规则的请求用程序过滤掉，其它极个别的请求手动删掉

如果大家没有什么好的解决方案的话求 nginx 配置书籍推荐，谢谢大家

[skylancer]

WAF

[zsdroid]

防患于未然型的解决方案??很简单啊，把服务器搭建在局域网就好了。

[Greenm]

既然放在公网那就要做好被全世界访问的准备。

就算你把奇怪的 useragent 全都过滤掉了，剩下的一样有机器扫描。

[Shirakawa]

if ($http_user_agent ~* (curl|bot|Python|sql|php)) {
return 403;
}

[userlol]

@Shirakawa 感谢，看到过类似写法，能否让 nginx 不响应对方请求呢？

[hcymk2]

@userlol
那你还是用 iptables 吧

[Shirakawa]

把 403 改成 444 ？

[745839]

等你看到扫描你的 22 或者 3389 你是不是又无奈了？
等你看到盲注是不是又无奈了？
等你看到 wget web.rar/wwwroot.rar/www.rar 是不是又无奈了？
网络上充斥着各种各样的扫描爆破嗅探

[ifaii]

正常操作 不要慌

[qf19910623]

你在街边造了一栋房子，你可以给门加锁不让人进来，但是你阻止不了路人跑来敲门

[giuem]

就不能设置只允许 CloudFlare 的 IP 访问

[Lanke0]

@qf19910623 搞个围墙

[Phariel]

@Lanke0 围墙不就是 fail2ban 么 楼主并不想用。。。

[cjpjxjx]

就像你走在大街上，你是无法避免各种各种的人看你的，只要别人不打你不碰你，那就随他去看呗，想要不被人看，那就把自己锁在家里（关闭所有进出端口）

[TheKiller]

仅允许 CloudFlare 的 IP 段访问