我的运维笔记

第01讲服务器安全加固

学习目标

理解SSH密钥认证原理，配置密钥登录，禁用密码登录
配置安全组+主机防火墙两层防护
理解ICMP与端口关系，读懂安全组规则
使用fail2ban自动封禁暴力破解IP
掌握VNC自救方式，防止SSH配置错误锁死服务器

重要运维习惯

私钥永不外传
改配置先留后路（VNC作为兜底）
先验证，再收口（新功能验证可用再关闭旧方式）

两条登录通道

SSH通道（含Workbench）：走公网22端口，受sshd配置管控；sshd配置出错该通道直接断开，不能当后路。
VNC带外通道：模拟物理显示器，不走安全组、不走sshd；修改SSH配置锁死后，唯一救命通道。

查看SSH暴力破解日志

sudo journalctl -u sshd | grep -i "failed" | tail -30

创建普通用户study

sudo adduser study
sudo passwd study
sudo usermod -aG wheel study

本地电脑生成ed25519密钥对

ssh-keygen -t ed25519 -C "你的名字-服务器加固"

Windows查看公钥：type $env:USERPROFILE\.ssh\id_ed25519.pub

Mac/Linux查看公钥：cat ~/.ssh/id_ed25519.pub

服务器配置公钥权限（关键，权限过松SSH拒绝登录）

mkdir -p ~/.ssh
chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
ls -l ~/.ssh

测试密钥登录

ssh study@服务器公网IP

创建teacher巡检账号，配置免密sudo

sudo adduser teacher
sudo mkdir -p /home/teacher/.ssh
sudo vi /home/teacher/.ssh/authorized_keys
sudo chmod 700 /home/teacher/.ssh
sudo chmod 600 /home/teacher/.ssh/authorized_keys
sudo chown -R teacher:teacher /home/teacher/.ssh
echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher
sudo chmod 440 /etc/sudoers.d/teacher
sudo visudo -c
sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"

修改sshd配置 /etc/ssh/sshd_config

修改/新增配置项：

PubkeyAuthentication yes
PasswordAuthentication no
PermitRootLogin no
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers study teacher

sudo sshd -t
sudo systemctl reload sshd

firewalld主机防火墙放行ssh

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

fail2ban 安装与配置

sudo dnf install -y epel-release
sudo dnf install -y fail2ban

编辑 /etc/fail2ban/jail.d/sshd.local

[sshd]
enabled = true
backend = systemd
maxretry = 3
findtime = 600
bantime = 3600

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

知识点小结

ICMP协议没有端口概念，安全组ICMP规则显示“任何”不等于开放全部端口，用于ping连通性测试。
私钥保存在本地绝不外传；服务器存放公钥。
故障自救：SSH无法连接，使用阿里云VNC登录修复sshd配置。

第02讲网站上线：域名解析与Nginx个人主页

学习目标

理解DNS作用，配置A域名解析记录并验证
安全组、firewalld放行80端口
安装Nginx，编写站点配置，重载配置
发布个人主页，排查403、404、访问超时故障

DNS解析记录要点

A记录：将域名指向IPv4公网IP
主机记录@代表裸域名 example.com；www代表 www.example.com
TTL：DNS缓存时间，修改解析需要等待TTL时间全网生效

nslookup 你的域名
nslookup www.你的域名

防火墙放行HTTP(80端口)

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

安装启动Nginx

sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl status nginx
nginx -v

创建网站目录

sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite
ls -ld /var/www/mysite

Nginx站点配置文件 /etc/nginx/conf.d/mysite.conf

server {
    listen 80;
    server_name example.com www.example.com;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

sudo nginx -t
sudo systemctl reload nginx

上传网页文件 scp

scp index.html study@你的服务器公网IP:/var/www/mysite/

curl模拟Host请求头，理解server_name匹配机制

curl -H "Host: 你的域名" http://127.0.0.1
curl http://127.0.0.1 | head -5

403故障排查实验

网页文件权限最低 644；网站目录权限最低 755。Nginx工作进程以nginx用户运行。查看错误日志定位Permission denied。

sudo tail -3 /var/log/nginx/mysite_error.log

实时看网站访问日志

sudo tail -f /var/log/nginx/mysite_access.log

重要知识点

Nginx依靠HTTP请求头Host字段 + server_name匹配不同网站。IP访问没有域名Host，匹配默认站点，显示Nginx默认页面。
运维原则：最小化开放端口；服务需要使用才打开对应端口。
网站首页必须放置ICP备案号并链接工信部备案查询网站。

第03讲 HTTPS与证书自动续期

学习目标

理解HTTP明文风险；HTTPS加密内容、身份认证的作用
理解数字证书、CA机构；HTTP‑01域名验证原理
certbot申请Let's Encrypt免费证书，配置Nginx HTTPS
配置证书自动续期，部署钩子重载Nginx

http明文抓包，查看明文流量

sudo dnf install -y tcpdump
sudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User-Agent|<title>"

开放443 HTTPS端口（80端口不可关闭）

sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-services

安装certbot证书工具

sudo dnf install -y certbot
certbot --version

演练申请证书（--dry-run，不消耗正式次数）

sudo certbot certonly --webroot -w /var/www/mysite \
-d example.com -d www.example.com \
-m 你的邮箱 --agree-tos --no-eff-email --dry-run

正式申请证书

sudo certbot certonly --webroot -w /var/www/mysite \
-d example.com -d www.example.com \
-m 你的邮箱 --agree-tos --no-eff-email

查看证书信息

sudo certbot certificates
sudo ls -l /etc/letsencrypt/live/example.com/
sudo openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -noout -issuer -dates -ext subjectAltName

备份旧Nginx配置

sudo cp /etc/nginx/conf.d/mysite.conf /etc/nginx/conf.d/mysite.conf.bak

完整HTTPS Nginx配置

# 80端口，ACME验证 + 301跳转https
server {
    listen 80;
    server_name example.com www.example.com;
    location /.well-known/acme-challenge/ {
        root /var/www/mysite;
    }
    location / {
        return 301 https://$host$request_uri;
    }
}

# 443 https站点
server {
    listen 443 ssl;
    server_name example.com www.example.com;
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

sudo nginx -t
sudo systemctl reload nginx

启用certbot自动续期定时器

sudo systemctl enable --now certbot-renew.timer
systemctl list-timers 'certbot*'

deploy钩子脚本：续期成功自动重载nginx

编辑 /etc/letsencrypt/renewal‑hooks/deploy/reload‑nginx.sh

#!/bin/bash
systemctl reload nginx

sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
sudo /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

模拟续期演练

sudo certbot renew --dry-run

HTTPS抓包实验（443端口密文）

sudo tcpdump -i any -A -nn -c 40 'tcp port 443'

核心笔记

Let's Encrypt证书有效期90天，未来缩短至45天，无邮件提醒，必须自动续期。
80端口不能关闭：①http访问跳转https；②证书续期HTTP‑01验证需要80端口。
HTTPS加密传输内容，但SNI会明文传递访问域名；看不到网页内容，但是能看到访问哪个域名。
privkey.pem证书私钥泄露会导致攻击者伪造你的网站，必须严格保护。
申请证书先dry‑run演练，防止频繁失败被CA限流。

我的运维笔记

第01讲 服务器安全加固

学习目标

重要运维习惯

两条登录通道

查看SSH暴力破解日志

创建普通用户study

本地电脑生成ed25519密钥对

服务器配置公钥权限（关键，权限过松SSH拒绝登录）

测试密钥登录

创建teacher巡检账号，配置免密sudo

修改sshd配置 /etc/ssh/sshd_config

firewalld主机防火墙放行ssh

fail2ban 安装与配置

知识点小结

第02讲 网站上线：域名解析与Nginx个人主页

学习目标

DNS解析记录要点

防火墙放行HTTP(80端口)

安装启动Nginx

创建网站目录

Nginx站点配置文件 /etc/nginx/conf.d/mysite.conf

上传网页文件 scp

curl模拟Host请求头，理解server_name匹配机制

403故障排查实验

实时看网站访问日志

重要知识点

第03讲 HTTPS与证书自动续期

学习目标

http明文抓包，查看明文流量

开放443 HTTPS端口（80端口不可关闭）

安装certbot证书工具

演练申请证书（--dry-run，不消耗正式次数）

正式申请证书

查看证书信息

备份旧Nginx配置

完整HTTPS Nginx配置

启用certbot自动续期定时器

deploy钩子脚本：续期成功自动重载nginx

模拟续期演练

HTTPS抓包实验（443端口密文）

核心笔记

第01讲服务器安全加固

第02讲网站上线：域名解析与Nginx个人主页