返回首頁
當前位置: 主頁 > 操作系統 > centos教程 >

阿里云CentOS服務器安全設置方案

時間:2018-09-10 23:02來源:電腦教程學習網 www.aedwey.tw 編輯:admin

我今天想來說說阿里云CentOS服務器的安全設置。

一、開啟云盾所有服務。

云盾是阿里巴巴集團多年來安全技術研究積累的成果,結合阿里云云計算平臺強大的數據分析能力。可以為中小網站提供如安全漏洞檢測、網頁木馬檢測以及面向云服務器用戶提供的主機入侵檢測、防DDOS等一站式安全服務。而且,云盾產品是免費的,擁有阿里云云服務器即可免費開通云盾服務。

415-01.jpg

二、通過防火墻策略限制對外掃描行為

請您根據您的服務器操作系統,下載對應的腳本運行,運行后您的防火墻策略會封禁對外發包的行為,確保您的主機不會再出現惡意發包的情況,為您進行后續數據備份操作提供足夠的時間。

Window2003的批處理文件下載地址:http://oss.aliyuncs.com/aliyunecs/windows2003_drop_port.bat

Window2008的批處理文件下載地址:http://oss.aliyuncs.com/aliyunecs/windows2008_drop_port.bat

Linux系統腳本:http://oss.aliyuncs.com/aliyunecs/linux_drop_port.sh

上述文件下載到機器內部直接執行即可。

三、設置iptables,限制訪問

/sbin/iptables -P INPUT ACCEPT  

/sbin/iptables -F  

/sbin/iptables -X  

/sbin/iptables -Z 


 

/sbin/iptables -A INPUT -i lo -j ACCEPT   

/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT  

/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT  

/sbin/iptables -A INPUT -p tcp --dport 8080 -j ACCEPT  

/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT  

/sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT  

/sbin/iptables -P INPUT DROP  

 service iptables save  

以上腳本,在每次重裝完系統后執行一次即可,其配置會保存至/etc/sysconfig/iptables

由于作為web服務器來使用,所以對外要開放 80 端口,另外肯定要通過ssh進行服務器管理,22 端口也要對外開放,當然最好是把ssh服務的默認端口改掉,在公網上會有很多人試圖破解密碼的,如果修改端口,記得要把該端口對外開發,否則連不上就悲劇了。下面提供配置規則的詳細說明:

第一步:清空所有規則


 

當Chain INPUT (policy DROP)時執行/sbin/iptables -F后,你將和服務器斷開連接

所有在清空所有規則前把policy DROP該為INPUT,防止悲劇發生,小心小心再小心

/sbin/iptables -P INPUT ACCEPT

清空所有規則

/sbin/iptables -F

/sbin/iptables -X

計數器置0

/sbin/iptables -Z


 

第二步:設置規則


 

允許來自于lo接口的數據包,如果沒有此規則,你將不能通過127.0.0.1訪問本地服務,例如ping 127.0.0.1

/sbin/iptables -A INPUT -i lo -j ACCEPT 


 

開放TCP協議22端口,以便能ssh,如果你是在有固定ip的場所,可以使用 -s 來限定客戶端的ip

/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT


 

開放TCP協議80端口供web服務

/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT


 

10.241.121.15是另外一臺服務器的內網ip,由于之間有通信,接受所有來自10.241.121.15的TCP請求

/sbin/iptables -A INPUT -p tcp -s 10.241.121.15 -j ACCEPT


 

接受ping

/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT


 

這條規則參看:http://www.netingcn.com/iptables-localhost-not-access-internet.html

/sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT


 

屏蔽上述規則以為的所有請求,不可缺少,否則防火墻沒有任何過濾的功能

/sbin/iptables -P INPUT DROP


 

可以使用 iptables -L -n 查看規則是否生效

至此防火墻就算配置好,但是這是臨時的,當重啟iptables或重啟機器,上述配置就會被清空,要想永久生效,還需要如下操作:

/etc/init.d/iptables save   

service iptables save


 

執行上述命令可以在文件 /etc/sysconfig/iptables 中看到配置

以下提供一個干凈的配置腳本:

/sbin/iptables -P INPUT ACCEPT

/sbin/iptables -F

/sbin/iptables -X

/sbin/iptables -Z


 

/sbin/iptables -A INPUT -i lo -j ACCEPT 

/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT

/sbin/iptables -A INPUT -p tcp -s 10.241.121.15 -j ACCEPT

/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT

/sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

/sbin/iptables -P INPUT DROP 

最后執行 ,先確保ssh連接沒有問題,防止規則錯誤,導致無法連上服務器,因為沒有save,重啟服務器規則都失效,否則就只有去機房才能修改規則了。也可以參考:ubuntu iptables 配置腳本來寫一個腳本。

最后執行 ,先確保ssh連接沒有問題,防止規則錯誤,導致無法連上服務器,因為沒有save,重啟服務器規則都失效,否則就只有去機房才能修改規則了。也可以參考:ubuntu iptables 配置腳本來寫一個腳本。

四、常用網絡監控命令

1、netstat -tunl:查看所有正在監聽的端口

415-02.jpg

其中123端口用于NTP服務。

2、netstat  -tunp:查看所有已連接的網絡連接狀態,并顯示其PID及程序名稱。

415-03.jpg

根據上述結果,可以根據需要kill掉相應進程。
 

如:

kill -9 1003

3、netstat -tunlp|grep 端口號

netstat -tunlp|grep 端口號,用于查看指定端口號的進程情況,如查看22端口的情況。

415-04.jpg

4、netstat常用選項說明:

Bash
-t: tcp   
-u : udp
-l, --listening
       Show only listening sockets.  (These are omitted by default.)
-p, --program
       Show the PID and name of the program to which each socket belongs.
--numeric , -n
Show numerical addresses instead of trying to determine symbolic host, port or user names.

5、修改ssh的監聽端口

1、修改 /etc/ssh/sshd_config

原有的port 22

改為port 44

2、重啟服務

Bash
/etc/init.d/sshd restart

3、查看情況

415-05.jpg

好了,相信認真看過上面文章內容的朋友對阿里云CentOS服務器安全設置方面應該都有一定的了解和認識了。如果有什么好的經驗歡迎大家分享和討論,更歡迎大家給陳德馨博客投稿哦。

------分隔線----------------------------
標簽(Tag):centOS CentOS服務器安全設置
------分隔線----------------------------
推薦內容
猜你感興趣
26选5中奖通告