強化Linux 伺服器的7個步驟

這篇入門文章將向你介紹基本的   伺服器安全知識。雖然主要針對 Debian/Ubuntu，但是你可以將此處介紹的所有內容應用於其他 Linux 發行版。我也鼓勵你研究這份材料，並在適用的情況下進行擴充套件。

保護伺服器安全的第一件事是更新本地儲存庫，並透過應用最新的修補程式來升級作業系統和已安裝的應用程式。
在 Ubuntu 和 Debian 上：

$ sudo apt update && sudo apt upgrade -y

在 Fedora、  或 RHEL：

$ sudo dnf upgrade

接下來，建立一個新的使用者帳戶。永遠不要以 root 身份登入伺服器，而是建立你自己的帳戶（使用者），賦予它 sudo 許可權，然後使用它登入你的伺服器。
首先建立一個新使用者：

$ adduser

透過將 sudo 組（-G）附加（-a）到使用者的組成員身份裡，從而授予新使用者帳戶 sudo 許可權：

$ usermod -a -G sudo

你應該使用 SSH 金鑰登入到新伺服器。你可以使用 ssh-copy-id  將預生成的 SSH 金鑰上傳到你的新伺服器：

$ ssh-copy-id@ip_address

現在，你無需輸入密碼即可登入到新伺服器。

接下來，進行以下三個更改：
禁用 SSH 密碼認證
限制 root 遠端登入
限制對 IPv4 或 IPv6 的訪問
使用你選擇的文字編輯器開啟 /etc/ssh/sshd_config 並確保以下行：

PasswordAuthentication yes
PermitRootLogin yes

改成這樣：

PasswordAuthentication no
PermitRootLogin no

接下來，透過修改 AddressFamily 選項將 SSH 服務限制為 IPv4 或 IPv6。要將其更改為僅使用 IPv4（對大多數人來說應該沒問題），請進行以下更改：

AddressFamily inet

重新啟動 SSH 服務以啟用你的更改。請注意，在重新啟動 SSH 服務之前，與伺服器建立兩個活動連線是一個好主意。有了這些額外的連線，你可以在重新啟動 SSH 服務出錯的情況下修復所有問題。
在 Ubuntu 上：

$ sudo service sshd restart

在 Fedora 或 CentOS 或任何使用 Systemd 的系統上：

$ sudo systemctl restart sshd

現在，你需要安裝防火牆、啟用防火牆並對其進行配置，以僅允許你指定的網路流量透過。（Ubuntu 上的）簡單的防火牆（UFW）是一個易用的 iptables 介面，可大大簡化防火牆的配置過程。

你可以透過以下方式安裝 UFW：

$ sudo apt install ufw

預設情況下，UFW 拒絕所有傳入連線，並允許所有傳出連線。這意味著伺服器上的任何應用程式都可以訪問網際網路，但是任何嘗試訪問伺服器的內容都無法連線。
首先，確保你可以透過啟用對 SSH、HTTP 和 HTTPS 的訪問來登入：

$ sudo ufw allow ssh
$ sudo ufw allow http
$ sudo ufw allow https

然後啟用 UFW：

$ sudo ufw enable

你可以透過以下方式檢視允許和拒絕了哪些服務：

$ sudo ufw status

如果你想禁用 UFW，可以透過鍵入以下 來禁用：

$ sudo ufw disable

你還可以（在 RHEL/CentOS 上）使用 firewall-cmd，它已經安裝並整合到某些發行版中。

Fail2ban 是一種用於檢查伺服器日誌以查詢重複或自動攻擊的應用程式。如果找到任何攻擊，它會更改防火牆以永久地或在指定的時間內阻止攻擊者的 IP 地址。
你可以透過鍵入以下命令來安裝 Fail2ban：

$ sudo apt install fail2ban -y

然後複製隨附的配置檔案：

$ sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

重啟 Fail2ban：

$ sudo service fail2ban restart

這樣就行了。該軟體將不斷檢查日誌檔案以查詢攻擊。一段時間後，該應用程式將建立相當多的封禁的 IP 地址列表。你可以透過以下方法查詢 SSH 服務的當前狀態來檢視此列表：

$ sudo fail2ban-client status ssh

幾乎所有 Linux 伺服器作業系統都啟用了一些面向網路的服務。你可能希望保留其中大多數，然而，有一些你或許希望刪除。你可以使用 ss 命令檢視所有正在執行的網路服務：（LCTT 譯註：應該是隻保留少部分，而所有確認無關的、無用的服務都應該停用或刪除。）

$ sudo ss -atpu

ss 的輸出取決於你的作業系統。下面是一個示例，它顯示 SSH（sshd）和 Ngnix（nginx）服務正在偵聽網路並準備連線：

tcp LISTEN 0 128 *:http *:* users:(("nginx",pid=22563,fd=7))
tcp LISTEN 0 128 *:ssh *:* users:(("sshd",pid=685,fd=3))

刪除未使用的服務的方式因你的作業系統及其使用的程式包管理器而異。
要在 Debian / Ubuntu 上刪除未使用的服務：

$ sudo apt purge

要在 Red Hat/CentOS 上刪除未使用的服務：

$ sudo yum remove

再次執行 ss -atup 以確認這些未使用的服務沒有安裝和執行。

本教程介紹了加固 Linux 伺服器所需的最起碼的措施。你應該根據伺服器的使用方式啟用其他安全層。這些安全層可以包括諸如各個應用程式配置、入侵檢測軟體（IDS）以及啟用訪問控制（例如，雙因素身份驗證）之類的東西。