香港云服务器怎么保护防火墙与访问控制设置详解

1. 准备工作：获取权限与环境确认

- 登录：先登录香港云服务商控制台，确认你有管理安全组/防火墙和服务器SSH权限。
- 备份：在做防火墙变更前，备份当前规则（iptables-save > ~/iptables.bak；或记录安全组配置截图）。
- 本地IP：在控制台或通过 whatismyip.cn 确认你的公网IP，用于白名单配置。

2. 控制台层面（安全组/云防火墙）操作步骤

- 找到安全组：控制台 > 网络与安全 > 安全组或云防火墙。
- 新建规则：创建入站规则：协议 TCP/UDP、端口（例如 22/80/443）、来源 IP（建议填写你的固定公网IP或网段），备注说明。
- 出站规则：一般默认允许，可根据需要限制到目标服务端口。保存并应用到对应实例。

3. 在系统级配置防火墙（Ubuntu 使用 UFW）

- 安装与启用：sudo apt update && sudo apt install ufw -y；sudo ufw default deny incoming；sudo ufw default allow outgoing。
- 允许 SSH：sudo ufw allow from 你的IP to any port 22 proto tcp；允许 HTTP/HTTPS：sudo ufw allow 80/tcp && sudo ufw allow 443/tcp。
- 启动并检查：sudo ufw enable；sudo ufw status verbose。

4. 高可定制规则（iptables 与 firewalld）

- iptables 示例：sudo iptables -A INPUT -p tcp --dport 22 -s 你的IP -j ACCEPT；sudo iptables -A INPUT -p tcp --dport 22 -j DROP。保存：sudo apt-get install iptables-persistent && sudo netfilter-persistent save。
- CentOS/RedHat：使用 firewalld：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="你的IP" port protocol="tcp" port="22" accept'；sudo firewall-cmd --reload。

5. SSH 与访问控制最佳实践

- 密钥认证：在本地运行 ssh-keygen，然后 ssh-copy-id user@server 或手动将公钥追加到 ~/.ssh/authorized_keys。
- 禁用密码登录：编辑 /etc/ssh/sshd_config，设置 PasswordAuthentication no、PermitRootLogin no、更改端口（Port 22->自定义），然后 sudo systemctl restart sshd。
- 变更防火墙顺序：先添加允许规则、确认可连，再添加禁止默认策略，避免被锁出。

6. 日志、监控与告警配置

- 开启防火墙日志：ufw logging on 或 iptables -j LOG 规则。
- 集中监控：部署 fail2ban 监控 SSH 多次失败并自动封禁（sudo apt install fail2ban，修改 /etc/fail2ban/jail.local）。
- 告警：在云控制台配置流量/安全告警，绑定邮件或短信通知。

7. 测试与故障排查步骤

- 端口检测：从本地用 nc -zv 目标IP 22/80/443 或使用 nmap -Pn -p22,80,443 target。
- 本机检查：ss -tuln 查看监听端口；sudo iptables -L -n 或 sudo ufw status 查看规则。
- 回滚：若无法访问，使用控制台的远程控制台或重置安全组到备份规则。

8. 常见问答：问：如何避免在修改防火墙后被锁出？

问：如何避免在修改防火墙后被锁出？

答：先在控制台或本机打开一个备用管理通道（例如云控制台的串口/救援模式）；添加当前公网IP的允许规则并测试连接，确认无误后再启用严苛的deny规则；保留一个管理IP白名单。

9. 常见问答：问：香港云服务器推荐使用哪种组合的防护？

问：香港云服务器推荐使用哪种组合的防护？

答：建议结合云端安全组（边界防护）+ 主机防火墙（UFW/iptables/firewalld）+ SSH 密钥登录 + fail2ban 日志封禁 + 日志监控与告警，实现多层防护。

10. 常见问答：问：若需要允许多个办公网访问，如何配置？

问：若需要允许多个办公网访问，如何配置？

答：在安全组或防火墙规则中添加多个来源网段（例：203.0.113.0/24, 198.51.100.0/24），或部署 VPN/Grid with NAT 让办公网通过固定出口IP访问，从而只白名单 VPN 出口IP，便于管理与审计。

来源：香港云服务器怎么保护防火墙与访问控制设置详解