端口一关，数据无忧：8年脚本老手的服务器安全实战

　　“端口一关，数据无忧：8年脚本老手的服务器安全实战”——这标题不是噱头，是我去年十一在客户现场咬着牙改完第三版iptables脚本后，在腾讯会议共享屏幕上随手打的标题，连标点都懒得校对。当时杭州某跨境电商SaaS厂商的Redis 6379端口正被境外IP以每秒217次的频率暴力探测，他们用的是阿里云ECS 2核4G Ubuntu 20.04，没开SELinux，也没装fail2ban。

文章配图，仅供参考

　　端口一关，数据无忧：8年脚本老手的服务器安全实战

　　新技术真香？未必。上个月帮一家宁波做工业PLC网关的公司加固，他们用Kubernetes+Calico，我以为能直接上NetworkPolicy——结果发现他们的kube-proxy运行在ipvs模式下，而Calico 3.20.3有个隐藏bug：当节点label带中文（比如region=宁波北仑）时，某些策略规则会静默失效，导致本该拒绝的502/tcp流量漏进了OPC UA服务容器。我抓包比对了6小时，最后是翻到GitHub一个closed issue里作者留的patch才绕过去。所谓“新技术”，有时候就是给老问题套了个新壳子，还自带三处未文档化的毛刺。

　　我干这行八年，写过2700+行Ansible playbook、压测过11种端口扫描工具对抗效果、在CentOS 6.5上手撕过netfilter原始规则——但最常被问的问题永远是：“老师，关了端口APP就挂，咋办？”去年十一那周，光是教客户怎么用systemd socket activation重启时自动重绑端口，我就录了5个不同场景的screenrecording，最长那个18分42秒，讲的是如何让Node.js进程在被kill -9后，通过socket监听触发systemd自动拉起，并把旧连接从TIME_WAIT队列平滑迁出——结果客户运维说：“这个太重，我们换nginx反代”。呵。

　　其实最该关的从来不是端口。去年十一前夜，我在客户服务器上跑了一段自己写的Python检测脚本，发现/root/.bash_history里存着三年前的MySQL root密码明文记录，它比任何开着的3306端口都危险。而真正的“无忧”，是让那个密码永远别进历史记录——我改了他们的/etc/profile.d/history.sh，加了HISTCONTROL=ignorespace，再配了alias mysql=' mysql -u appuser -p'。可惜啊，他们三天后就把这条alias删了，说“影响日常排查效率”。

　　我不信“一劳永逸”的安全。

　　现在我的自动化脚本里默认包含一条：每周二凌晨2:13自动扫描/etc/passwd新增shell用户、/var/log/auth.log异常失败登录、以及netstat -tuln输出中非常规端口与对应pid的owner UID匹配——但上上周，这个检查漏掉了用systemd --scope启动的golang二进制，因为它的lsof -i显示为“can't identify protocol”，得靠ss -tulnp硬抠/proc//fd。这事我还没补上，你要是用我的脚本，请手动加一行grep -q "golang" /proc//comm 2>/dev/null || echo "⚠️ golang scope 检测盲区"

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!