我的运维笔记

第1讲 服务器安全加固

本章目标：对阿里云Rocky9服务器做安全加固，配置SSH密钥登录、防火墙、fail2ban防爆破，保护服务器不被暴力破解。

核心知识点

• 登录两条通道：SSH网络登录；VNC带外控制台（救命后路，不受安全组、sshd配置影响）。
• 密钥原理：私钥保存在自己电脑绝不外传，公钥上传服务器；禁止把私钥发给别人。
• 两层防护：阿里云安全组（云平台层） + firewalld主机防火墙（系统内部），遵循最小开放原则。
• fail2ban：读取系统登录日志，短时间多次密码错误自动封禁攻击者IP。

关键命令

# 查看SSH登录失败日志
sudo journalctl -u sshd | grep -i "failed" | tail -30

# 安装EPEL源、fail2ban
sudo dnf install -y epel-release
sudo dnf install -y fail2ban

# 启动fail2ban开机自启
sudo systemctl enable --now fail2ban

# 查看fail2ban封禁状态
sudo fail2ban-client status sshd

# 防火墙永久放行ssh服务
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

# 测试ssh配置语法
sudo sshd -t
sudo systemctl reload sshd

遇到的问题与解决

SSH密钥登录失败：绝大多数是~/.ssh目录权限不是700、authorized_keys文件权限不是600；SSH权限过松会直接拒绝密钥登录。

改sshd配置出错导致SSH连不上：使用阿里云VNC登录服务器修复配置。

第2讲 网站上线：域名解析与Nginx个人主页

本章目标：配置DNS域名解析，安装Nginx，部署个人静态主页，实现域名访问网站。

核心知识点

• DNS作用：把域名翻译为服务器公网IP；A记录代表IPv4地址。主机记录@代表主域名，www代表www子域名。
• Nginx虚拟主机：依靠HTTP请求头里的Host字段区分不同网站，对应配置里的server_name。
• 网站访问三要素：DNS解析正确、安全组与防火墙开放对应端口、Nginx配置正确。
• 权限规则：网页目录权限755，网页文件权限644。Nginx工作进程以nginx用户读取网页，不是study用户。
• 规范：网站底部必须放置ICP备案号并链接工信部备案查询网站。

关键命令

# 安装并启动Nginx
sudo dnf install -y nginx
sudo systemctl enable --now nginx

# 创建网站目录，修改归属与权限
sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite

# 修改Nginx配置后先检查语法再重载
sudo nginx -t
sudo systemctl reload nginx

# 放行80端口http服务
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

# 实时查看网站访问日志
sudo tail -f /var/log/nginx/mysite_access.log

# windows电脑测试解析
nslookup cccnnn.xyz
nslookup www.cccnnn.xyz

遇到的问题与解决

403 Forbidden禁止访问：网页/目录权限不足，查看nginx错误日志确认Permission denied；目录设置755，html文件设置644。

域名访问看到Nginx默认页：server_name写错，没有包含完整域名。

第3讲 HTTPS给网站加上安全锁

本章目标：使用Let’s Encrypt免费证书，把网站升级HTTPS，配置证书自动续期。

核心知识点

• HTTP明文传输：所有内容网络上明文可见，账号密码会被抓包窃取。
• HTTPS = HTTP + TLS加密：①加密传输内容；②身份认证，防止中间人冒充网站。依靠数字证书。
• Let’s Encrypt公益CA，证书有效期90天，未来缩短至45天，不再发送到期提醒，自动续期必须配置。
• HTTP‑01验证：CA访问http://域名/.well‑known/acme‑challenge/验证文件确认服务器控制权；所以80端口不能关闭。
• 端口：HTTP使用80，HTTPS使用443；80端口负责跳转与证书续期校验。
• 私钥privkey.pem绝对不能泄露，泄露攻击者可以冒充网站。
• certbot‑renew.timer定时器每天自动检查证书；deploy钩子在证书续期成功后自动重载Nginx加载新证书。

关键命令

# 安装certbot证书工具
sudo dnf install -y certbot

# 演练申请证书（--dry-run测试环境，不真正发证）
sudo certbot certonly --webroot -w /var/www/mysite \
-d cccnnn.xyz -d www.cccnnn.xyz \
-m m19564888814@163.com --agree-tos --no-eff-email --dry-run

# 正式申请证书（去掉--dry-run）
sudo certbot certonly --webroot -w /var/www/mysite \
-d cccnnn.xyz -d www.cccnnn.xyz \
-m m19564888814@163.com --agree-tos --no-eff-email

# 查看本机所有证书
sudo certbot certificates

# 启用证书续期定时器
sudo systemctl enable --now certbot-renew.timer
systemctl list-timers 'certbot*'

# 模拟全部证书续期演练
sudo certbot renew --dry-run

# 开放443端口https服务
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

遇到的问题与解决

certbot申请报错NXDOMAIN：域名没有正确做A记录解析。

unauthorized 404：webroot目录和Nginx网站root路径不一致，验证文件无法被外网访问。

nginx -t cannot load certificate：证书路径写错，核对certbot certificates输出的真实路径。

第4讲 一台服务器部署多个站点（虚拟主机）

本章目标：同一台服务器单个公网IP部署第二个网站notes.cccnnn.xyz子站点，独立证书、独立日志。

核心知识点

• Nginx虚拟主机：依靠请求头Host区分多个域名，每个网站对应独立server{}配置块。
• 规范：一站一配置文件、一站一网站目录、一站一日志、一站一独立证书。
• 配置继承：外层http块的指令会被server继承；server内部写同名指令会覆盖上层配置。
• 默认站点：访问域名没有匹配任何server_name时，交给该端口的默认站点处理。conf.d配置文件按文件名顺序加载。
• location匹配优先级：精确= ＞^~前缀 ＞正则~ ＞普通最长前缀匹配。
• certbot定时器会管理服务器上全部证书，不需要给新增子站重新创建定时器与钩子脚本。

关键命令

# 创建子站点目录
sudo mkdir -p /var/www/notes
sudo chown -R study:study /var/www/notes
sudo chmod 755 /var/www/notes
ls -ld /var/www/notes

# 查看全部生效nginx配置，列出所有listen、server_name
sudo nginx -T 2>/dev/null | grep -n -E "^\s*(listen|server_name)"

# openssl查看域名返回哪一张证书
openssl s_client -connect 127.0.0.1:443 -servername notes.cccnnn.xyz /dev/null | openssl x509 -noout -ext subjectAltName

# 分别监控两个网站日志
sudo tail -f /var/log/nginx/mysite_access.log
sudo tail -f /var/log/nginx/notes_access.log

遇到的问题与解决

访问notes子域名出现证书警告，显示主站证书：notes的443的server块没有配置或者没有reload nginx，443端口使用了默认站点（mysite）返回证书。

403访问禁止：检查/var/www/notes目录权限755，index.html权限644。