运维学习笔记

第一讲 服务器安全加固

学习要点

公网服务器会遭到SSH暴力破解攻击。本讲完成服务器加固：使用密钥登录替代密码登录，配置两层防火墙，部署fail2ban自动封禁攻击者；牢记VNC是紧急自救通道。

核心概念

• 密钥认证：私钥保存在本地电脑绝不外传；公钥上传服务器 ~/.ssh/authorized_keys。私钥泄露别人可以完全控制服务器。
• 两条登录通道：SSH（Workbench）受sshd配置控制；VNC带外控制台不走安全组，SSH坏掉也可以登录修复配置。
• 两层防护：阿里云安全组（云平台层面） + firewalld主机防火墙（系统内部），遵循最小开放原则，只开放业务必须端口。
• fail2ban监控SSH登录日志，短时间多次登录失败自动拉黑攻击者IP；Rocky9必须使用 backend=systemd读取系统日志。

关键命令（带注释）

# 查看SSH登录失败日志，观察暴力破解记录
sudo journalctl -u sshd | grep -i failed | tail -30

# 本地电脑生成ed25519密钥对
ssh-keygen -t ed25519 -C "服务器study账号"

# 校验ssh配置语法，无报错再重载
sudo sshd -t
sudo systemctl reload sshd

# firewalld放行ssh服务
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

# 查看fail2ban状态，查看被封禁IP列表
sudo fail2ban-client status sshd

常见故障

• 密钥登录仍然要求输密码：.ssh目录权限700，authorized_keys权限600，权限不对SSH拒绝密钥登录。
• SSH完全连不上服务器：使用VNC登录修复sshd配置。

第二讲 网站上线：Nginx与域名DNS解析

学习要点

实现域名访问网站；理解DNS解析原理；安装Nginx，编写站点配置，发布静态网页；掌握403、404、访问超时故障排查。

核心概念

• DNS域名解析：DNS相当于互联网通讯录，把域名翻译成服务器公网IP；A记录用于指向IPv4地址；@代表裸域名，www代表www子域名；修改解析不会立刻生效，受TTL缓存影响。
• 网站上线三要素：DNS解析正确；安全组与firewalld放行80端口；Nginx服务与站点配置正确。
• Nginx虚拟主机：依靠HTTP请求头的Host字段匹配server_name，一台服务器一个IP可以跑多个网站；IP访问不会匹配自定义站点，会显示Nginx默认页面。
• 文件权限：Nginx工作进程以nginx用户运行；网站目录权限755，网页文件权限644；权限不足出现403 Forbidden。

关键命令（带注释）

# 验证域名DNS解析
nslookup example.com
nslookup www.example.com

# 安装、启动nginx并设置开机自启
sudo dnf install -y nginx
sudo systemctl enable --now nginx
nginx -v

# 创建网站目录，修改归属和权限
sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite

# nginx配置检查，重载生效
sudo nginx -t
sudo systemctl reload nginx

# 实时跟踪网站访问日志
sudo tail -f /var/log/nginx/mysite_access.log

常见故障

• IP能访问、域名打不开：DNS解析记录错误或未生效，等待TTL时间。
• 浏览器访问连接超时：安全组、firewalld没有放行80端口。
• 403禁止访问：目录或文件权限不足，查看nginx错误日志确认Permission denied。
• 访问域名看到Nginx默认页：server_name配置写错或缺少www域名。

第三讲 HTTPS证书与自动续期

学习要点

理解HTTP明文的安全风险；掌握HTTPS(TLS)加密原理；使用certbot申请Let’s Encrypt免费证书；配置Nginx HTTPS站点，配置证书全自动续期。

核心概念

• HTTP明文风险：80端口HTTP全部数据明文传输，网络链路可以窃听账号密码等全部内容。
• HTTPS = HTTP + TLS加密：实现传输加密 + 服务器身份认证；注意：HTTPS加密页面内容，但是握手阶段SNI域名是明文，别人可以看到访问哪个域名。
• Let’s Encrypt证书免费CA机构；证书有效期90天，未来缩短到45天，无到期提醒，必须配置自动续期，不能靠人工记忆。
• HTTP‑01验证：CA访问网站路径 /.well‑known/acme‑challenge/验证文件确认域名所有权；申请证书条件：解析正确、80端口开放、Nginx正确提供验证文件。
• 端口策略：443是HTTPS端口；80端口不能关闭，用于http跳转https以及证书续期验证。
• 证书续期机制：certbot‑renew.timer定时器自动检测证书；deploy钩子脚本在续期成功后重载Nginx加载新证书。

关键命令（带注释）

# 安装certbot证书工具
sudo dnf install -y certbot
certbot --version

# 演练申请证书（测试环境，不会生成正式证书）
sudo certbot certonly --webroot -w /var/www/mysite \
-d example.com -d www.example.com --dry-run

# 查看本机全部证书信息、路径、到期时间
sudo certbot certificates

# 启用证书自动续期定时器
sudo systemctl enable --now certbot-renew.timer
systemctl list-timers 'certbot*'

# 模拟完整续期演练
sudo certbot renew --dry-run

常见故障

• certbot报404 unauthorized：webroot的网站目录与nginx配置的acme根目录不一致。
• nginx -t报cannot load certificate：证书路径写错或者证书还未申请。
• https访问超时：安全组、firewalld没有放行443(https)端口。