关于个人服务器安全

[devliu1]

暴露在公网上的个人服务器，怎么样才能提高安全性？

目前的办法是 port knocking + 蜜罐 + vpn 。但是 使用 port knocking 如果忘记了关怎么办😂

想到了本地的安全软件，可以做到发起或传入连接时通过 GUI 进行控制。 服务端有什么现成的系统或者 API，可以做到一个连接传入时，通过程序控制吗(比如发邮件，邮件附带一个 url 对服务器进行控制，允许当前 IP 连入)

[loading]

端口全关，只留 ssh 禁用密码登录，基本就差不多了吧。

[loading]

还有，别部署热门程序，例如帝国 cms，哈哈。

[devliu1]

@loading 嗯，基本的安全措施还是可以做的，主要是想避免被扫

[mikeguan]

这个 port knocking 忘记关是什么意思？ 这个不是一定时间后失效吗？是指错误的把端口扫描的 IP 加白了吗？这个好像也可以通过几个端口不同顺序来解决

[locoz]

端口全关，用 zerotier 或者是直接搞个 VPN，通过隧道的方式连上去操作。

[opengps]

白名单是个好东西

[noclin]

@mikeguan 比如我使用一个 seq 调用 iptable 开放某个 IP，可以做到让它在一定时间之后再调用 iptable 关闭访问权限吗

[noclin]

@mikeguan 看到过类似的方案，但是没有配置过

[ly4572615]

改端口,关密码登录,denyhosts,有固定 ip 加个防火墙,差不多了

[devliu1]

@mikeguan 和#7 说的是一样的，我测试看看


@opengps @ly4572615 但是问题在于需要通过一种方法动态修改白名单，和 /t/684494 说的差不多，他的做法是通过一台公网服务器主动请求修改白名单。能不能有人连接时产生一个 callback，通知用户进行添加到白名单这个操作，同时可以看到有人在尝试连接。

[updateing]

@devliu1 如果是使用 ipset 做的 port knocking 的白名单，可以用 ipset 自带的 timeout 功能实现定时解除。

[devliu1]

@locoz 就是 VPN 之外再套一层，会不会很多余

[CallMeReznov]

通过防火墙的 API 开放你需要访问的服务器端口
前几年做游戏的时候被人 CC 就是这样的,为了要区分正常玩家与恶意攻击代理,正常的客户端请求那个地址后会才可以正常进入,有效的过滤了一批攻击者.

[CallMeReznov]

jumpserver 或者 frp 也可以吧.

[love]

放心，个人 VPS 就别安全强迫症了，基本的通用软件 ssh/mail/web 服务器软件不太能被爆（除非用了弱密码），要爆也轮不到你这种没价值的

[devliu1]

@CallMeReznov 根据上面大佬的回复，是可以通过 port knocking + iptable 做到的，frp 的话也可以使用 stcp+socks5 代理做，似乎性能有点低。

不知道 #10 提到的能不能做到

[devliu1]

@love 也对啊 😄确实是强迫症

[locoz]

@devliu1 #12 不是 VPN 外再套一层啊，zerotier 或 VPN，选一个😂。你现在有 VPN 就直接只留 VPN，其他端口全关就行了。

[locoz]

或者更暴力一点，通过第三方服务通知你的服务器，让它主动连接你本地的 VPN 之类的建立连接，这样就一个端口都不用开了…

[flypei]

我自己用的基本就是裸奔，只修改了 ssh 端口，其他的懒的搞。