阿里云linux服务器安全设置(防火墙策略等)

首先需要进行linux的基础安全设置，可以先参考这篇文章

网站建设哪家好，找创新互联！专注于网页设计、网站建设、微信开发、微信小程序定制开发、集团企业网站建设等服务项目。为回馈新老客户创新互联还提供了连江免费建站欢迎大家使用！

1、Linux系统脚本

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

#!/bin/bash

#########################################

#Function: linux drop port

#Usage: bash linux_drop_port.sh

#Author: Customer Service Department

#Company: Alibaba Cloud Computing

#Version: 2.0

#########################################

check_os_release()

{

whiletrue

do

os_release=$(grep"Red Hat Enterprise Linux Server release"/etc/issue2>/dev/null)

os_release_2=$(grep"Red Hat Enterprise Linux Server release"/etc/redhat-release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"release 5">/dev/null2>&1

then

os_release=redhat5

echo"$os_release"

elifecho"$os_release"|grep"release 6">/dev/null2>&1

then

os_release=redhat6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep"Aliyun Linux release"/etc/issue2>/dev/null)

os_release_2=$(grep"Aliyun Linux release"/etc/aliyun-release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"release 5">/dev/null2>&1

then

os_release=aliyun5

echo"$os_release"

elifecho"$os_release"|grep"release 6">/dev/null2>&1

then

os_release=aliyun6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep"CentOS release"/etc/issue2>/dev/null)

os_release_2=$(grep"CentOS release"/etc/*release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"release 5">/dev/null2>&1

then

os_release=centos5

echo"$os_release"

elifecho"$os_release"|grep"release 6">/dev/null2>&1

then

os_release=centos6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep-i "ubuntu"/etc/issue2>/dev/null)

os_release_2=$(grep-i "ubuntu"/etc/lsb-release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"Ubuntu 10">/dev/null2>&1

then

os_release=ubuntu10

echo"$os_release"

elifecho"$os_release"|grep"Ubuntu 12.04">/dev/null2>&1

then

os_release=ubuntu1204

echo"$os_release"

elifecho"$os_release"|grep"Ubuntu 12.10">/dev/null2>&1

then

os_release=ubuntu1210

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep-i "debian"/etc/issue2>/dev/null)

os_release_2=$(grep-i "debian"/proc/version2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"Linux 6">/dev/null2>&1

then

os_release=debian6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep"openSUSE"/etc/issue2>/dev/null)

os_release_2=$(grep"openSUSE"/etc/*release 2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"13.1">/dev/null2>&1

then

os_release=opensuse131

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

break

done

}

exit_script()

{

echo-e "\033[1;40;31mInstall $1 error,will exit.\n\033[0m"

rm-f $LOCKfile

exit1

}

config_iptables()

{

iptables -I OUTPUT 1 -p tcp -m multiport --dport21,22,23,25,53,80,135,139,443,445 -j DROP

iptables -I OUTPUT 2 -p tcp -m multiport --dport 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186-j DROP

iptables -I OUTPUT 3 -p udp -j DROP

iptables -nvL

}

ubuntu_config_ufw()

{

ufwdeny out proto tcp to any port 21,22,23,25,53,80,135,139,443,445

ufwdeny out proto tcp to any port 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186

ufwdeny out proto udp to any

ufwstatus

}

####################Start###################

#check lock file ,one time only let thescript run one time

LOCKfile=/tmp/.$(basename$0)

if[ -f "$LOCKfile"]

then

echo-e "\033[1;40;31mThe script is already exist,please next timeto run this script.\n\033[0m"

exit

else

echo-e "\033[40;32mStep 1.No lock file,begin to create lock fileand continue.\n\033[40;37m"

touch$LOCKfile

fi

#check user

if[ $(id-u) != "0"]

then

echo-e "\033[1;40;31mError: You must be root to run this script,please use root to execute this script.\n\033[0m"

rm-f $LOCKfile

exit1

fi

echo-e "\033[40;32mStep 2.Begen tocheck the OS issue.\n\033[40;37m"

os_release=$(check_os_release)

if[ "X$os_release"=="X"]

then

echo-e "\033[1;40;31mThe OS does not identify,So this script isnot executede.\n\033[0m"

rm-f $LOCKfile

exit0

else

echo-e "\033[40;32mThis OS is $os_release.\n\033[40;37m"

fi

echo-e "\033[40;32mStep 3.Begen toconfig firewall.\n\033[40;37m"

case"$os_release"in

service iptables start

config_iptables

;;

debian6)

config_iptables

;;

ubuntu10|ubuntu1204|ubuntu1210)

ufwenable <

y

EOF

ubuntu_config_ufw

;;

opensuse131)

config_iptables

;;

esac

echo-e "\033[40;32mConfig firewallsuccess,this script now exit!\n\033[40;37m"

rm-f $LOCKfile

上述文件下载到机器内部直接执行即可。

2、设置iptables，限制访问

/sbin/iptables-P INPUT ACCEPT

/sbin/iptables-F

/sbin/iptables-X

/sbin/iptables-Z

/sbin/iptables-A INPUT -i lo -j ACCEPT

/sbin/iptables-A INPUT -p tcp --dport 22 -j ACCEPT

/sbin/iptables-A INPUT -p tcp --dport 80 -j ACCEPT

/sbin/iptables-A INPUT -p tcp --dport 8080 -j ACCEPT

/sbin/iptables-A INPUT -p icmp -m icmp --icmp-type8 -j ACCEPT

/sbin/iptables-A INPUT -m state --state ESTABLISHED -j ACCEPT

/sbin/iptables-P INPUT DROP

service iptables save

以上脚本，在每次重装完系统后执行一次即可，其配置会保存至/etc/sysconfig/iptables

3、常用网络监控命令
（1） netstat -tunl：查看所有正在监听的端口

[root@AY1407041017110375bbZ ~]# netstat -tunl

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State

tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN

udp 0 0 ip:123 0.0.0.0:*

udp 0 0 127.0.0.1:123 0.0.0.0:*

udp 0 0 0.0.0.0:123 0.0.0.0:*

其中123端口用于NTP服务。
（2）netstat -tunp：查看所有已连接的网络连接状态，并显示其PID及程序名称。

[root@AY1407041017110375bbZ ~]# netstat -tunp

Active Internet connections (w/oservers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Programname

tcp 0 96 ip:22 221.176.33.126:52699 ESTABLISHED 926/sshd

tcp 0 0 ip:34385 42.156.166.25:80 ESTABLISHED 1003/aegis_cli

根据上述结果，可以根据需要kill掉相应进程。
如:
kill -9 1003

（3）netstat -tunlp
（4）netstat常用选项说明：成都服务器托管

-t: tcp
-u : udp
-l, --listening
Show only listening sockets. (These are omitted by default.)
-p, --program
Show the PID and name of the program to which each socket belongs.
--numeric , -n
Show numerical addresses instead of trying to determine symbolic host, port or user names.

4、修改ssh的监听端口

（1）修改 /etc/ssh/sshd_config

原有的port 22

改为port 44

（2）重启服务

/etc/init.d/sshd restart
（3）查看情况

netstat-tunl

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State

tcp 0 0 0.0.0.0:44&nbs            

            文章题目：阿里云linux服务器安全设置(防火墙策略等)            

            URL标题：http://cqcxhl.com/article/dhpgs.html


    
        其他资讯
        
            
                    mongodb查看有哪些表的方法
                

                    小程序绑定用户的优化示例
                

                    Solidity内联汇编怎么使用
                

                    Java程序员掌握这些技术薪资能翻一倍
                

                    如何在Centos7.4下部署mysql5.7.24
                
        
    


    
        
            
                
                
                    分享至：
                    
                        
                        
                        
                        
                    
                    
                
            
            
                
                    关于我们
                    
                        公司简介
                        发展历程
                    
                
                
                    服务项目
                    
                        高端网站建设
                        小程序开发
                        APP开发
                        网络营销
                    
                
                
                    建站知识
                    
                        网站建设
                        网站设计
                        网站制作
                        小程序
                    
                
                
                    联系我们
                    
                        公司地址
                        人才招聘
                    
                
            
            
                
                    成都
                    重庆
                
                
                    
                        
                            
                            电话：028-86922220
                        
                        
                            
                            地址：成都市太升南路288号锦天国际A幢1002号
                        
                    
                    
                        
                            
                            电话：028-86922220
                        
                        
                            
                            地址：重庆市南岸区弹子石腾龙大道58号2栋21-6
                        
                    
                
            
        
    
    版权所有：成都创新互联科技有限公司重庆分公司
        渝ICP备2021005571号-4
    




    
        
            
            在线咨询
        
    
    
        
            
            服务热线
        
        服务热线：028-86922220
    
    
        
            
            TOP

重庆分公司，新征程启航

阿里云linux服务器安全设置(防火墙策略等)

其他资讯