阿里云linux服務(wù)器安全設(shè)置(防火墻策略等)
更新時(shí)間：2016年10月15日 23:09:09 投稿：mdxy-dxy
這篇文章主要介紹了阿里云linux服務(wù)器安全設(shè)置，主要是針對(duì)防火墻策略等一些補(bǔ)充
首先需要進(jìn)行l(wèi)inux的基礎(chǔ)安全設(shè)置，可以先參考這篇文章
http://www.dbjr.com.cn/article/94842.htm
1、Linux系統(tǒng)腳本
#!/bin/bash
#########################################
#Function: linux drop port
#Usage: bash linux_drop_port.sh
#Author: Customer Service Department
#Company: Alibaba Cloud Computing
#Version: 2.0
#########################################
check_os_release()
{
while true
do
os_release=$(grep "Red Hat Enterprise Linux Server release"/etc/issue 2>/dev/null)
os_release_2=$(grep "Red Hat Enterprise Linux Server release"/etc/redhat-release 2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "release 5" >/dev/null2>&1
then
os_release=redhat5
echo "$os_release"
elif echo "$os_release"|grep "release 6">/dev/null 2>&1
then
os_release=redhat6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep "Aliyun Linux release" /etc/issue2>/dev/null)
os_release_2=$(grep "Aliyun Linux release" /etc/aliyun-release2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "release 5" >/dev/null2>&1
then
os_release=aliyun5
echo "$os_release"
elif echo "$os_release"|grep "release 6">/dev/null 2>&1
then
os_release=aliyun6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep "CentOS release" /etc/issue 2>/dev/null)
os_release_2=$(grep "CentOS release" /etc/*release2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "release 5" >/dev/null2>&1
then
os_release=centos5
echo "$os_release"
elif echo "$os_release"|grep "release 6">/dev/null 2>&1
then
os_release=centos6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep -i "ubuntu" /etc/issue 2>/dev/null)
os_release_2=$(grep -i "ubuntu" /etc/lsb-release2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "Ubuntu 10" >/dev/null2>&1
then
os_release=ubuntu10
echo "$os_release"
elif echo "$os_release"|grep "Ubuntu 12.04">/dev/null 2>&1
then
os_release=ubuntu1204
echo "$os_release"
elif echo "$os_release"|grep "Ubuntu 12.10">/dev/null 2>&1
then
os_release=ubuntu1210
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep -i "debian" /etc/issue 2>/dev/null)
os_release_2=$(grep -i "debian" /proc/version 2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "Linux 6" >/dev/null2>&1
then
os_release=debian6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep "openSUSE" /etc/issue 2>/dev/null)
os_release_2=$(grep "openSUSE" /etc/*release 2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep"13.1" >/dev/null 2>&1
then
os_release=opensuse131
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
break
done
}
exit_script()
{
echo -e "\033[1;40;31mInstall $1 error,will exit.\n\033[0m"
rm-f $LOCKfile
exit 1
}
config_iptables()
{
iptables -I OUTPUT 1 -p tcp -m multiport --dport21,22,23,25,53,80,135,139,443,445 -j DROP
iptables -I OUTPUT 2 -p tcp -m multiport --dport 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186-j DROP
iptables -I OUTPUT 3 -p udp -j DROP
iptables -nvL
}
ubuntu_config_ufw()
{
ufwdeny out proto tcp to any port 21,22,23,25,53,80,135,139,443,445
ufwdeny out proto tcp to any port 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186
ufwdeny out proto udp to any
ufwstatus
}
####################Start###################
#check lock file ,one time only let thescript run one time
LOCKfile=/tmp/.$(basename $0)
if [ -f "$LOCKfile" ]
then
echo -e "\033[1;40;31mThe script is already exist,please next timeto run this script.\n\033[0m"
exit
else
echo -e "\033[40;32mStep 1.No lock file,begin to create lock fileand continue.\n\033[40;37m"
touch $LOCKfile
fi
#check user
if [ $(id -u) != "0" ]
then
echo -e "\033[1;40;31mError: You must be root to run this script,please use root to execute this script.\n\033[0m"
rm-f $LOCKfile
exit 1
fi
echo -e "\033[40;32mStep 2.Begen tocheck the OS issue.\n\033[40;37m"
os_release=$(check_os_release)
if [ "X$os_release" =="X" ]
then
echo -e "\033[1;40;31mThe OS does not identify,So this script isnot executede.\n\033[0m"
rm-f $LOCKfile
exit 0
else
echo -e "\033[40;32mThis OS is $os_release.\n\033[40;37m"
fi
echo -e "\033[40;32mStep 3.Begen toconfig firewall.\n\033[40;37m"
case "$os_release" in
redhat5|centos5|redhat6|centos6|aliyun5|aliyun6)
service iptables start
config_iptables
;;
debian6)
config_iptables
;;
ubuntu10|ubuntu1204|ubuntu1210)
ufwenable <<EOF
y
EOF
ubuntu_config_ufw
;;
opensuse131)
config_iptables
;;
esac
echo -e "\033[40;32mConfig firewallsuccess,this script now exit!\n\033[40;37m"
rm -f $LOCKfile
上述文件下載到機(jī)器內(nèi)部直接執(zhí)行即可。
2、設(shè)置iptables，限制訪問
/sbin/iptables -P INPUT ACCEPT /sbin/iptables -F /sbin/iptables -X /sbin/iptables -Z /sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 8080 -j ACCEPT /sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT /sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT /sbin/iptables -P INPUT DROP service iptables save
以上腳本，在每次重裝完系統(tǒng)后執(zhí)行一次即可，其配置會(huì)保存至/etc/sysconfig/iptables
更詳細(xì)的可以參考這篇文章 http://www.dbjr.com.cn/article/94839.htm
3、常用網(wǎng)絡(luò)監(jiān)控命令
（1） netstat -tunl：查看所有正在監(jiān)聽的端口
[root@AY1407041017110375bbZ ~]# netstat -tunl Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN udp 0 0 ip:123 0.0.0.0:* udp 0 0 ip:123 0.0.0.0:* udp 0 0 127.0.0.1:123 0.0.0.0:* udp 0 0 0.0.0.0:123 0.0.0.0:*
其中123端口用于NTP服務(wù)。
（2）netstat -tunp：查看所有已連接的網(wǎng)絡(luò)連接狀態(tài)，并顯示其PID及程序名稱。
[root@AY1407041017110375bbZ ~]# netstat -tunp Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 96 ip:22 221.176.33.126:52699 ESTABLISHED 926/sshd tcp 0 0 ip:34385 42.156.166.25:80 ESTABLISHED 1003/aegis_cli
根據(jù)上述結(jié)果，可以根據(jù)需要kill掉相應(yīng)進(jìn)程。
如:
kill -9 1003
（3）netstat -tunlp
（4）netstat常用選項(xiàng)說明：
-t: tcp
-u : udp
-l, --listening
Show only listening sockets. (These are omitted by default.)
-p, --program
Show the PID and name of the program to which each socket belongs.
--numeric , -n
Show numerical addresses instead of trying to determine symbolic host, port or user names.
4、修改ssh的監(jiān)聽端口
（1）修改 /etc/ssh/sshd_config
原有的port 22
改為port 44
（2）重啟服務(wù)
/etc/init.d/sshd restart
（3）查看情況
netstat -tunl Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 0.0.0.0:44 0.0.0.0:* LISTEN udp 0 0 ip:123 0.0.0.0:* udp 0 0 ip:123 0.0.0.0:* udp 0 0 127.0.0.1:123 0.0.0.0:* udp 0 0 0.0.0.0:123 0.0.0.0:*
您可能感興趣的文章:
- linux下mysql開啟遠(yuǎn)程訪問權(quán)限 防火墻開放3306端口
- Linux中在防火墻中開啟80端口方法示例
- linux防火墻iptables規(guī)則的查看、添加、刪除和修改方法總結(jié)
- linux查看防火墻狀態(tài)與開啟關(guān)閉命令詳解
- linux下防火墻開啟某個(gè)端口號(hào)及防火墻常用命令使用(詳解)
- Linux下設(shè)置防火墻白名單(RHEL 6和CentOS 7)的步驟
- Linux防火墻iptables入門教程
- 關(guān)閉selinux(防火墻)方法分享
- linux下mysql鏈接被防火墻阻止的解決方法
- linux系統(tǒng)對(duì)外開放3306、8080等端口，防火墻設(shè)置詳解
相關(guān)文章
CentOS下Lighttpd Web服務(wù)器安裝與配置方法
CentOS下Lighttpd Web服務(wù)器安裝與配置方法，需要的朋友可以參考下。2011-04-04
詳解Linux系統(tǒng)三種模式下的簡(jiǎn)單命令
這篇文章主要介紹了Linux系統(tǒng)三種模式下的簡(jiǎn)單命令，非常不錯(cuò)，具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2018-07-07
本篇文章主要介紹了Linux如何查看進(jìn)程棧信息示例，小編覺得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2018-03-03
Ubuntu使用國(guó)內(nèi)源出現(xiàn)Hash Sum mismatch錯(cuò)誤的解決
這篇文章主要介紹了Ubuntu使用國(guó)內(nèi)源出現(xiàn)Hash Sum mismatch錯(cuò)誤的解決,小編覺得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2018-04-04
Linux運(yùn)維工具Supervisor的安裝使用（進(jìn)程管理工具）
這篇文章主要介紹了Linux運(yùn)維工具Supervisor的安裝使用，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-02-02
寶塔Linux面板之好用免費(fèi)的中文Linux VPS主機(jī)控制面板適合快速建站
本篇文章主要介紹了寶塔Linux面板之好用免費(fèi)的中文Linux VPS主機(jī)控制面板適合快速建站，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2017-07-07
Linux:FTP工具及SSH遠(yuǎn)程連接工具的使用方式
這篇文章主要介紹了Linux:FTP工具及SSH遠(yuǎn)程連接工具的使用方式,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2024-02-02
Centos系統(tǒng)中用mock構(gòu)建rpm的方法
這篇文章主要給大家介紹了在Centos系統(tǒng)中用mock構(gòu)建rpm的方法，文中給出了詳細(xì)的命令代碼，相信對(duì)大家的理解和學(xué)習(xí)具有一定的參考借鑒家價(jià)值，有需要的朋友們下面來一起看看吧。2016-12-12
如何查看Apache的連接數(shù)和當(dāng)前連接數(shù)
查看Apache的連接數(shù)和當(dāng)前的連接數(shù)以及IP訪問次數(shù)，下面有個(gè)不錯(cuò)的示例，大家可以參考下，希望對(duì)大家解決問題有所幫助2014-01-01
用DNSPod和Squid打造自己的CDN (八) 測(cè)試并運(yùn)行SQUID
想要測(cè)試SQUID是否正常，必須要先把www.naizhao.com這個(gè)域名解析到2.2.2.2這個(gè)IP上。跟上一章一樣，如果你是網(wǎng)通用戶就不需要做任何操作，DNSPod會(huì)給你返回2.2.2.2這個(gè)IP2013-04-04