我的运维笔记

第1讲 服务器安全加固

课程目标

• 理解SSH密钥认证原理，配置密钥登录、禁用密码登录
• 理解安全组+主机防火墙两层防护
• 理解ICMP与端口关系，读懂安全组规则
• 部署fail2ban实现自动封禁暴力破解IP
• 掌握VNC自救方式，防止把自己锁在服务器外

重要运维习惯

• 私钥永不外传
• 改配置先留后路（VNC作为兜底）
• 先验证，再收口（新功能验证成功再关闭旧方式）

暴力破解查看日志命令

sudo journalctl -u sshd | grep -i "failed" | tail -30

服务器两条登录通道

1. SSH通道（Workbench）：走公网22端口，受sshd配置控制；sshd配置出错会直接断开，不能作为后路。
2. VNC带外管理通道：模拟显示器，不走安全组、不受sshd影响；修改SSH配置出错时的救命后路；VNC登录终端为 /dev/tty1，SSH登录是伪终端 /dev/pts/0。

SSH密钥认证原理

生成一对密钥：

• 私钥：保存在自己电脑，绝不外传，身份凭证。
• 公钥：上传到服务器，可以公开。服务器使用公钥出题，只有对应私钥可以解开完成登录。

新建普通用户

sudo adduser study
sudo passwd study
sudo usermod -aG wheel study

本地生成密钥对（Windows PowerShell / Mac/Linux终端）

ssh-keygen -t ed25519 -C "你的名字-服务器加固"

查看公钥：

Windows：type $env:USERPROFILE\.ssh\id_ed25519.pub

Mac/Linux：cat ~/.ssh/id_ed25519.pub

服务器配置公钥目录与权限（权限错误会直接拒绝密钥登录）

mkdir -p ~/.ssh
chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
ls -l ~/.ssh

注意：authorized_keys权限必须为600，.ssh目录700，属主必须是对应用户。

测试密钥登录

ssh study@服务器公网IP

✅ 不输入密码直接登录，代表密钥配置成功；必须验证成功之后，再关闭密码登录。

巡检账号teacher配置要点

• 上传老师的公钥，绝对不能把自己私钥发给别人。
• teacher不设置密码，不能加入wheel组；单独配置免密sudo。

sudo adduser teacher
sudo mkdir -p /home/teacher/.ssh
sudo vi /home/teacher/.ssh/authorized_keys
sudo chmod 700 /home/teacher/.ssh
sudo chmod 600 /home/teacher/.ssh/authorized_keys
sudo chown -R teacher:teacher /home/teacher/.ssh

echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher
sudo chmod 440 /etc/sudoers.d/teacher
sudo visudo -c
sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"

修改sshd_config配置

编辑 /etc/ssh/sshd_config，修改/新增：

PubkeyAuthentication yes
PasswordAuthentication no
PermitRootLogin no
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers study teacher

检查配置语法，重载sshd：

sudo sshd -t
sudo systemctl reload sshd

两层防护：安全组 + firewalld主机防火墙

• 安全组：阿里云平台层，控制公网流量能不能进入实例。
• firewalld：操作系统内部防火墙，流量到达实例之后控制放行。
• 原则：最小化开放，只开放业务必需端口。

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

ICMP协议没有端口概念；安全组显示“任何端口”只是占位符，不等于开放全部端口，ping依赖ICMP。

fail2ban自动封禁暴力破解IP

sudo dnf install -y epel-release
sudo dnf install -y fail2ban

新建配置文件 /etc/fail2ban/jail.d/sshd.local

[sshd]
enabled = true
backend = systemd
maxretry = 3
findtime = 600
bantime = 3600

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

第1讲排错自救要点

• SSH连不上：使用VNC登录修复sshd配置，执行 sshd -t校验再reload。
• 密钥登录仍要求密码：检查目录与文件权限、文件属主。
• sudoers错误：VNC登录root，修复 /etc/sudoers.d/teacher，执行visudo‑c校验。
• firewalld规则不生效：缺少 --permanent或者没有执行 --reload。

第2讲 网站上线：域名解析与Nginx个人主页

课程目标

• 理解DNS，配置域名A记录解析
• 安全组与firewalld放行80端口
• 安装Nginx，编写站点配置，理解server_name与Host请求头
• 发布个人主页；排查403、404、连接超时故障

DNS域名解析

• A记录：将域名指向IPv4公网IP。
• 主机记录：@代表裸域名 example.com；www代表 www.example.com。
• TTL：DNS缓存时长，修改记录需要等待TTL时间全网生效。

nslookup 你的域名
nslookup www.你的域名

放行HTTP 80端口

阿里云安全组入方向开放TCP 80；主机防火墙：

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

Nginx安装与启动

sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl status nginx
nginx -v

创建网站目录

sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite
ls -ld /var/www/mysite

阿里云Rocky镜像默认关闭SELinux；其他环境遇到403要考虑SELinux。

Nginx站点配置文件 /etc/nginx/conf.d/mysite.conf

server {
    listen 80;
    server_name example.com www.example.com;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

修改配置必须语法校验再重载：

sudo nginx -t
sudo systemctl reload nginx

Nginx依靠HTTP请求头Host字段，结合server_name区分不同网站；IP访问不携带域名Host，会命中默认站点，显示Nginx默认页面。

上传网页文件scp命令示例

scp index.html study@服务器公网IP:/var/www/mysite/

403 Forbidden常见原因

• 网页文件权限至少 644，目录权限至少 755。Nginx工作进程以nginx用户运行，需要有读取权限。
• 排错优先查看错误日志：/var/log/nginx/mysite_error.log

查看网站访问日志

sudo tail -f /var/log/nginx/mysite_access.log

网站故障排查思路

1. DNS：nslookup检查解析是否正确。
2. 网络端口：安全组、firewalld确认80端口放行。
3. Nginx：配置、文件权限、查看error_log。

第3讲 HTTPS与证书自动续期

课程目标

• 理解HTTP明文风险，HTTPS加密和身份认证作用
• 了解CA机构，HTTP‑01域名验证流程
• certbot申请Let’s Encrypt免费证书，配置Nginx HTTPS
• 配置证书自动续期，部署deploy钩子重载Nginx

HTTP明文风险

HTTP全部内容明文传输，中间网络节点可以窃听请求内容；HTTPS = HTTP + TLS加密，完成两件事：传输内容加密；服务器身份认证（数字证书充当网站身份证）。

sudo dnf install -y tcpdump
sudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User‑Agent|