一台云服务器，入站端口全部关闭，出站打开，是不是即使公布 IP 地址，也不会被攻击

[qingwuguo]

我有一台亚马逊云服务器

我把入站端口全部关闭，出站全部放开，是不是即使服务器 IP 地址暴露，也不会被攻击

排除物理攻击、机房其它云服务器被攻击导致连带的问题

只考虑从远处，且只有 IP 地址的情况下，是否能被攻击呢

[qingwuguo]

@also24 通过读取数据库和请求交易所 API 来获取信息

[henvm]

@coymail #特殊应用确实可以关闭入站端口，就好比我们平时在家里使用电脑炒股一样。只是他这个用服务器来帮别人炒股。

[henvm]

@qingwuguo #41 他的意思是说 用户下载你开发的软件，这个软件肯定是需要连接你的服务器来请求展示数据给用户看，如果不开入站请求，用户怎么使用软件。
我觉得你这个软件是直接运行在服务器上。用户只要到交易所申请 APPKEY 提交给你们，然后剩下的事情就是你们去操作。

[coymail]

看了圈回复，楼主就是想要云服务器但是所使用的是家宽的那种性质，只与外网主动发起连接但是不提供服务，这种情况，交易所的 ip 或者域名白名单就可以了，其余数据包 drop 掉，这种情况下没有安全问题

[also24]

@qingwuguo #41
本地数据库还是远程？

远程数据库的话，也许可以通过对这个数据库进行攻击，构造数据。

当然，只是说也许存在，实际执行的可能性仍然是极小的。

[henvm]

@coymail #44 IP 因为要泄露给用户拿去交易所申请 APPKEY，不排除恶意用户得到 IP，来 DDOS 。ddos 的话关机都没有，打包服务器提供商带宽只能被劝退。

[henvm]

@coymail #41 《交易所的 ip 或者域名白名单就可以了》 这个不存在的，交易所不会自动发起请求他的服务器 IP，所以没有这个一说。只有他服务器主动发起请求给交易所。防止的就是 IP 泄露给用户被 DDOS，然后带宽被打爆，服务器提供商劝退。
唯一的办法就是与交易所达成交易采用 VPN 内网连接，来杜绝 IP 泄露。当然这个不现实

[Yourshell]

跟你拿锤子锤墙同理

[alphatoad]

DDoS 又不是只有传输层的嘛

[henvm]

@alphatoad DDOS 就是打带宽流量的，只要知道你的 IP 就行，你关机都没用。流量还是会过来，最主要的影响还不是你，而是服务提供商。
比如别人打你 IP，你在服务器提供商拿了 100M 带宽，机房出口 100G 如果有 80G 流量打过来机房就受好大的影响。
有的机房有清洗设备，有的没有。100G 的出口部署硬件防火墙，打 80G 过来，平时机房总业务量在 50%，那受影响很大的。清洗不过来。而且清洗服务是要钱的。

[libook]

安全都是相对的，看你参照的是哪些种类的威胁。

如果是主动扫描攻击的话，楼主的方案是安全的。
但如果是 DDoS 攻击的话，这种策略可能不能应对。
还有其他的攻击方式，比如服务器每隔一段时间会自动请求另一个服务器（很多高危的都不是站长主动开的，一般是系统自带的服务，比如 DNS 、NTP 、自动检查系统更新等），那么可以攻下这外部服务器，等楼主的服务器主动过来请求，再返回恶意数据。如果这些自动发送出站请求的程序存在漏洞的话，可能就会被攻击而开放系统管理权限。
还有就是社会工程学的攻击，比如通过钓鱼邮件之类的手段欺骗楼主打开端口或套取登录服务器的方式，又或者通过恶意软件控制楼主终端，待楼主使用终端登录服务器的时候发起攻击。

建议：
即时更新系统和软件，避免存在漏洞被利用。
使用有行为分析的防火墙，识别出异常流量自动防御。
登录服务器使用双重认证，避免任何一个登录凭据泄露导致系统失守。
警惕钓鱼和诈骗，链接不随便点、文件不随便下，多验证信息来源的真实性。

[Richardyyz]

我在想反向代理能解决用户端泄露 ip 的可能性吧？
交易所不清楚，但是券商可以谈专线。

[lysS]

没有请求怎么回复??? 又不是广播

[AlghaPorthos]

我个人刚刚玩服务器，不知道这么说合不合适：
每一次访问就像是敲博物馆的门，你是保安，决定开门还是关门。但是如果被 DDoS，网络就会因为敲门次数太多而无法找到正常的游客——要么全部放进来，要么全部拒绝，要么用技术手段解决。但前提是你的服务器够好。

[workspace]

不能， 别人不能连接到你的任何服务，包括你自己。

[FS1P7dJz]

那你这样的服务器还有啥意义呢...

[iminto]

DDOS 就是锤子，你不想让屋里的人提供服务，于是你把门关了，但是没用啊，直接把你门砸了。

同理，不管如何，防火墙都需要执行阻断这个动作，光是执行这个阻断动作就足以让 DDOS 直接把你防火墙干死了。

[mysy2001]

端口都关了，跟你拿锤子锤墙同理。

物理服务器我会前端加个防火墙设备，IPS 最好，IDS 也可以，
分散压力搞个 F5 设备，后面挂多台物理机，硬抗流量。

[GKLuke]

frp 什么的情况考虑么

[pmispig]

攻击你，流量不需要到你这，上一级就掐了，你就死了