从裸奔到上锁
三讲服务器运维笔记

sudo journalctl -u sshd | grep -i "failed" | tail -30↳ 查 sshd 系统日志 → 只筛含 failed 的行(-i 忽略大小写) → 只显示最后 30 条whoami↳ 显示当前登录用户名，VNC 下应为 studytty↳ 显示终端设备：VNC 为 /dev/tty1，SSH 为 /dev/pts/0 —— 从系统内部印证两条独立通道exit↳ 退出 VNC 登录

sudo adduser study↳ 新建普通用户；把 study 换成自己的用户名sudo passwd study↳ 设置登录密码（按提示输入两次）sudo usermod -aG wheel study↳ 加入 wheel 组，只有 wheel 成员才能用 sudo 执行管理员命令

ssh-keygen -t ed25519 -C "你的名字-服务器加固"↳ 生成 ed25519 密钥对（现代、短小、安全），一路回车即可；私钥绝不外传type $env:USERPROFILE\.ssh\id_ed25519.pub↳ Windows PowerShell 查看公钥（.pub 结尾）cat ~/.ssh/id_ed25519.pub↳ macOS / Linux 查看公钥；不带 .pub 的那个是私钥

sudo su - study↳ 切换到 study 并加载其环境，此后 ~ 代表 /home/studymkdir -p ~/.ssh↳ 创建 .ssh 目录；-p 表示已存在也不报错chmod 700 ~/.ssh↳ 目录 700：仅本人可进入读写，权限过松 SSH 会直接拒绝使用且不报错vi ~/.ssh/authorized_keys↳ 按 i 进入编辑 → 粘贴公钥（一整行，中间不能换行）→ Esc → :wq 保存chmod 600 ~/.ssh/authorized_keys↳ 文件 600：SSH 强制要求，权限过松会拒绝用它登录ls -l ~/.ssh↳ 核对：authorized_keys 应为 -rw-------，且属主是本人而不是 rootssh study@服务器公网IP↳ 回到自己电脑验证：能直接登入且不要求输密码，才算密钥配置成功

sudo adduser teacher↳ 新建专供老师巡检的账号sudo mkdir -p /home/teacher/.ssh↳ 为 teacher 创建 .ssh 目录sudo vi /home/teacher/.ssh/authorized_keys↳ 贴入【老师发给你的公钥】一整行 —— 注意不是你自己的公钥sudo chmod 700 /home/teacher/.ssh↳ 目录权限 700sudo chmod 600 /home/teacher/.ssh/authorized_keys↳ 文件权限 600sudo chown -R teacher:teacher /home/teacher/.ssh↳ 用 sudo 建的目录属主是 root，必须改回 teacherecho "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher↳ teacher 无密码，wheel 组 sudo 需本人密码，故单独写免密规则sudo chmod 440 /etc/sudoers.d/teacher↳ sudoers 规则文件要求权限 440（只读）sudo visudo -c↳ 检查所有 sudo 配置语法，全部 parsed OK 才算过；写错会让所有账号 sudo 失效sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"↳ 以 teacher 身份测试，-n 表示不询问密码

sudo vi /etc/ssh/sshd_config↳ 打开 SSH 服务端主配置文件PubkeyAuthentication yes↳ 允许密钥登录（本章加固的基础，保持开启）PasswordAuthentication no↳ 禁止密码登录，杜绝被猜密码 —— 务必确认密钥能登录后再改这一项PermitRootLogin no↳ 禁止 root 直接远程登录，缩小攻击面MaxAuthTries 3↳ 单次连接最多 3 次认证尝试，超过即断开，拖慢暴力破解ClientAliveInterval 300↳ 每 300 秒探测一次客户端是否还在ClientAliveCountMax 2↳ 连续 2 次无响应就断开，自动清理空闲会话AllowUsers study teacher↳ 登录白名单：写错用户名或漏掉 teacher，对应的人就会被挡在门外sudo sshd -t↳ 测试配置语法：没有任何输出即正确，有错会指出具体行号sudo systemctl reload sshd↳ 重新加载生效；reload 不会断开当前连接，比 restart 安全

sudo firewall-cmd --permanent --add-service=ssh↳ 永久放行 SSH；Rocky 上必须加 --permanent，否则重启后规则失效sudo firewall-cmd --reload↳ 重新加载防火墙，让永久规则真正生效sudo firewall-cmd --list-all↳ 列出当前区域放行的服务/端口，核对结果sudo ss -tlnp↳ -t 只看 TCP / -l 只看监听 / -n 数字显示不解析 / -p 显示占用进程；与安全组规则对照

sudo dnf install -y epel-release↳ 先装 EPEL 扩展源（Rocky 默认源里没有 fail2ban）sudo dnf install -y fail2ban↳ 安装 fail2ban 本体sudo vi /etc/fail2ban/jail.d/sshd.local↳ 在 jail.d/ 写 .local 规则，不直接改 jail.conf —— 软件升级时配置不会被覆盖[sshd]↳ 针对 sshd 服务的防护规则enabled  = true↳ 启用本规则backend  = systemd↳ Rocky 9 关键：日志由 systemd 统一管理；旧教程读 /var/log/secure 在这里不生效maxretry = 3↳ 允许的最大失败次数findtime = 600↳ 统计窗口：600 秒（10 分钟）内累计失败bantime  = 3600↳ 触发后的封禁时长：3600 秒（1 小时）sudo systemctl enable --now fail2ban↳ 启动并设为开机自启（--now 立即启动，enable 开机自启）sudo fail2ban-client status sshd↳ 查看运行状态，重点看 Banned IP list（已被自动封禁的攻击者 IP）

echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher↳ teacher 无密码，wheel 组 sudo 需本人密码，所以用不了，单独写免密规则sudo chmod 440 /etc/sudoers.d/teacher↳ sudoers 规则文件要求权限 440sudo visudo -c↳ 必须全部 parsed OK；写错会让所有账号 sudo 失效，用 VNC 以 root 修复sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"↳ 以 teacher 身份验证免密 sudo 是否可用

nslookup 你的域名↳ 查询解析结果，看 Address 一栏是不是服务器公网 IPnslookup www.你的域名↳ 带 www 的记录同样要能查到

控制台：安全组入方向添加 TCP 80 / 0.0.0.0/0↳ 允许任何来源访问网页；控制台通常也有 HTTP(80) 快速添加选项sudo firewall-cmd --permanent --add-service=http↳ 永久放行 HTTP 服务（即 TCP 80）sudo firewall-cmd --reload↳ 重新加载防火墙，使永久规则生效sudo firewall-cmd --list-services↳ 查看已放行服务，应包含 ssh 和 http

sudo dnf install -y nginx↳ 从系统软件源安装，-y 自动确认sudo systemctl enable --now nginx↳ 立即启动并设为开机自启systemctl status nginx↳ 查看运行状态，应显示 active (running)，按 q 退出nginx -v↳ 查看 Nginx 版本号

sudo mkdir -p /var/www/mysite↳ 单独建自己的站点目录，结构清晰，以后加第二个站点不互相干扰sudo chown -R study:study /var/www/mysite↳ 把目录交给 study，之后上传和修改网页不必用 sudosudo chmod 755 /var/www/mysite↳ 目录 755：属主可读写，其他人（包括 Nginx）可进入ls -ld /var/www/mysite↳ 核对：应显示 drwxr-xr-x，属主为 studygetenforce↳ 查看 SELinux 状态：阿里云 Rocky 公共镜像默认显示 Disabled

sudo vi /etc/nginx/conf.d/mysite.conf↳ Nginx 自动加载 conf.d/ 下所有 .conf 文件；把 example.com 换成自己的域名server {↳ 站点配置块开始    listen       80;↳ 监听 80 端口，接收 HTTP 请求    server_name  example.com www.example.com;↳ 本站响应哪些域名：带 www 和不带 www 都要写；Nginx 靠 Host 请求头匹配它    root         /var/www/mysite;↳ 网站文件所在目录    index        index.html;↳ 访问目录时默认返回的首页文件    access_log   /var/log/nginx/mysite_access.log;↳ 本站访问日志：记录每一次访问    error_log    /var/log/nginx/mysite_error.log;↳ 本站错误日志：出问题时先看这里    location / {↳ 路径匹配规则        try_files $uri $uri/ =404;↳ 按请求路径查找文件或目录，找不到就返回 404    }↳ 结束 location}↳ 结束 serversudo nginx -t↳ 检查所有配置语法，显示 syntax is ok 和 test is successful 才算通过sudo systemctl reload nginx↳ 重新加载生效；reload 不中断正在进行的访问

scp index.html study@你的服务器公网IP:/var/www/mysite/↳ 方式一：本地写好再上传，用的是和 ssh 同一把密钥，不需要密码（推荐）vi /var/www/mysite/index.html↳ 方式二：直接在服务器上编辑；目录已交给 study，所以不需要 sudo页面底部：<a href="https://beian.miit.gov.cn/" target="_blank">浙ICP备XXXXXXXX号-1</a>↳ 硬性合规要求：备案号换成自己的，链接指向工信部，新窗口打开

curl -H "Host: 你的域名" http://127.0.0.1↳ 手动指定 Host 为你的域名 → 返回你的主页内容curl http://127.0.0.1 | head -5↳ 不带你的域名 → 返回默认测试页；head -5 只看前 5 行

echo "<h1>test</h1>" > /var/www/mysite/test.html↳ 在网站目录新建一个测试页面chmod 600 /var/www/mysite/test.html↳ 权限改为 600：只有属主 study 能读写curl -I -H "Host: 你的域名" http://127.0.0.1/test.html↳ -I 只看响应头：结果是 403 Forbiddenps -o user= -C nginx | sort -u↳ 查 nginx 进程身份：主进程 root，工作进程 nginx —— 真正读文件的是 nginx 用户ls -l /var/www/mysite/↳ test.html 显示 -rw-------，对 nginx 用户属于「其他人」，600 不允许读sudo tail -3 /var/log/nginx/mysite_error.log↳ 错误日志里有 (13: Permission denied)，直接说明原因chmod 644 /var/www/mysite/test.html↳ 改为 644：属主可读写，其他人可读 —— 网页文件至少需要 644curl -I -H "Host: 你的域名" http://127.0.0.1/test.html↳ 再次访问：返回 200 OKrm /var/www/mysite/test.html↳ 实验结束，删除测试文件

sudo tail -f /var/log/nginx/mysite_access.log↳ 持续显示文件末尾新增内容，按 Ctrl+C 退出；每刷新一次多一行访问记录

sudo dnf install -y tcpdump↳ 安装抓包工具 tcpdumpsudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User-Agent|<title>"↳ -i any 所有网卡 / -A 文本显示 / -nn 数字不解析 / -a 二进制当文本；请同学用手机访问 http://你的域名 观察

控制台：安全组入方向添加 TCP 443 / 0.0.0.0/0↳ 控制台通常也提供 HTTPS(443) 快速添加选项sudo firewall-cmd --permanent --add-service=https↳ 永久放行 HTTPS 服务（即 TCP 443）sudo firewall-cmd --reload↳ 重新加载防火墙使永久规则生效sudo firewall-cmd --list-services↳ 核对：应包含 ssh、http、https

sudo dnf install -y certbot↳ 从 EPEL 源安装（第 1 章装 fail2ban 时已装过 EPEL）certbot --version↳ 查看版本号，确认安装成功

sudo certbot certonly --webroot -w /var/www/mysite \↳ certonly 只申请证书不自动改 Nginx；--webroot 把验证文件放进网站目录由 Nginx 发出；行尾 \ 表示命令未完     -d example.com -d www.example.com \↳ -d 证书要包含的域名，带 www 和不带 www 各写一个     -m 你的邮箱 --agree-tos --no-eff-email --dry-run↳ -m 联系邮箱 / --agree-tos 同意条款 / --no-eff-email 不订阅新闻 / --dry-run 演练模式

sudo certbot certonly --webroot -w /var/www/mysite \↳ 看到 Successfully received certificate. 说明证书已签发     -d example.com -d www.example.com \↳ 两个域名缺一不可     -m 你的邮箱 --agree-tos --no-eff-email↳ 演练成功后才执行这一步

sudo certbot certificates↳ 列出本机所有证书：包含哪些域名、到期时间、剩余天数、文件位置sudo ls -l /etc/letsencrypt/live/example.com/↳ 目录名取自第一个 -d 域名；fullchain.pem 证书链发访问者 / privkey.pem 私钥留服务器绝不泄露sudo openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -noout -issuer -dates -ext subjectAltName↳ -issuer 颁发者应含 Let's Encrypt / -dates 生效与到期时间 / -ext subjectAltName 域名列表

sudo cp /etc/nginx/conf.d/mysite.conf /etc/nginx/conf.d/mysite.conf.bak↳ 备份名不能以 .conf 结尾，否则会被 Nginx 一并加载造成重复配置sudo vi /etc/nginx/conf.d/mysite.conf↳ 把文件全部内容替换为下面的双 server 块# ① 80 端口：只做 ACME 验证 + 跳转到 HTTPS↳ 80 不再直接提供网页server {↳ 80 server 块    listen       80;↳ 监听 80    server_name  example.com www.example.com;↳ 两个域名都要写    location /.well-known/acme-challenge/ {↳ 证书续期验证专用路径        root /var/www/mysite;↳ Let's Encrypt 仍通过 HTTP 读取这里的验证文件    }↳ 结束 location    location / {↳ 其余请求        return 301 https://$host$request_uri;↳ $host 请求域名 / $request_uri 请求路径，保证 /about.html 准确跳转而不是一律回首页    }↳ 结束 location}↳ 结束 80 server# ② 443 端口：真正提供网站内容↳ HTTPS 站点server {↳ 443 server 块    listen       443 ssl;↳ 监听 443 并启用 SSL/TLS 加密    server_name  example.com www.example.com;↳ 两个域名都要写    ssl_certificate      /etc/letsencrypt/live/example.com/fullchain.pem;↳ 证书（含中间证书），发给访问者证明身份    ssl_certificate_key  /etc/letsencrypt/live/example.com/privkey.pem;↳ 证书私钥，留在服务器用于解密，绝不能泄露    ssl_protocols        TLSv1.2 TLSv1.3;↳ 只允许较新的安全协议版本，淘汰有漏洞的旧版本    root         /var/www/mysite;↳ 网站目录    index        index.html;↳ 首页文件    access_log   /var/log/nginx/mysite_access.log;↳ 访问日志    error_log    /var/log/nginx/mysite_error.log;↳ 错误日志    location / {↳ 路径匹配        try_files $uri $uri/ =404;↳ 找不到就返回 404    }↳ 结束 location}↳ 结束 443 serversudo nginx -t↳ 显示 syntax is ok 和 test is successful 才算通过；报 cannot load certificate 多半是路径域名写错sudo systemctl reload nginx↳ 重新加载配置使其生效

curl.exe -I http://example.com↳ 应返回 301 Moved Permanently，Location 指向 https://example.com/curl.exe -I https://example.com↳ 应返回 200 OKcurl.exe -I https://www.example.com↳ 带 www 的同样应返回 200 OK

sudo systemctl enable --now certbot-renew.timer↳ 启用续期定时器并立即计时；每天检查，到期前约 30 天自动续期systemctl list-timers 'certbot*'↳ 查看定时器：NEXT 一列是下次检查时间sudo vi /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh↳ 续期成功后自动执行的钩子脚本#!/bin/bash↳ 脚本内容第 1 行systemctl reload nginx↳ 脚本内容第 2 行：Nginx 不会自动读新证书，必须重载一次才生效sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh↳ 钩子脚本必须有执行权限才会被调用sudo /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh↳ 手动运行一次，没有报错即可systemctl is-active nginx↳ 确认 Nginx 仍在正常运行，应显示 activesudo certbot renew --dry-run↳ 演练一次续期全过程；成功显示 Congratulations, all simulated renewals succeeded

sudo tcpdump -i any -A -nn -c 40 'tcp port 443'↳ -c 40 抓够 40 个包自动停止；看不到 GET / User-Agent / 标题，全是乱码，但域名（SNI）仍明文

sudo cp /etc/nginx/conf.d/mysite.conf.bak /etc/nginx/conf.d/mysite.conf↳ 用备份还原sudo nginx -t && sudo systemctl reload nginx↳ 还原后照例先测语法再生效