US.KG 域名网站服务器如何审计监听端口并限制入站流量端口清点与防火墙规则【免费下载链接】US.KGFree domain registration and practical DNS learning resources for everyone.项目地址: https://gitcode.com/GitHub_Trending/us/US.KG域名注册与数字面板DigitalPlat只负责注册控制层它不会替服务器开通防火墙端口——服务器自身的监听端口与防火墙策略才决定哪些入站流量真正可达。US.KG 教程给出了一条完整操作路径先用sudo ss -lntup清点当前所有监听器按默认拒绝原则收紧入站流量只保留 TCP 80/443 与按设计限制的管理端口最后用重跑端口检查、nc与curl验证收紧没有切断正常访问。本文适用对象一台已授权管理的 Debian 或 Ubuntu 服务器已安装 Nginx 作为 Web 服务器操作账号为非 root 且带sudo。开始前的准备条件服务器为通用 Debian 或 Ubuntu 系统已安装 NginxPrepare a Linux Web Server 一节的示例环境拥有非 root 的管理账号可通过sudo执行管理命令在修改防火墙之前先弄清管理访问SSH走哪条恢复路径并确认该路径不会被规则切断。文档明确提醒修改认证或访问限制时不要在未验证可用恢复路径的情况下禁用旧方式确认改动前已有备份。Server Hardening and Maintenance 的 Hardening Lab 要求在动手前确认备份存在。第一步捕获监听器清单sudo ss -lntup这条命令列出全部 TCP 监听器及其所属进程sudo用于读取进程归属信息它的输出就是本次变更的基线改动后要能直接对比。macOS 上的等价命令是lsof -nP -iTCP -sTCP:LISTEN本机检查用。对清单中的每一个监听器记录以下字段进程属主Process owner绑定地址Bind address端口与协议业务用途Business purpose是否需要公开Whether it must be public更新责任Update responsibility同时做三项检查均来自 Hardening Lab 的步骤确认每个监听端口的属主进程和所属包检查应用是否以 root 运行复核网站目录权限。Prepare a Linux Web Server 用下面的命令找出网站目录中异常宽泛组/其他可写的文件文档同时提醒先审查结果再改权限部分协作流程会刻意保留组写权限。find /var/www/example.dpdns.org -xdev -type f -perm -0002 -printexample.dpdns.org是文档中的示例域名换成你的实际网站目录。数据库、缓存和内部应用端口应绑定在私有或本地接口上除非远程访问是明确设计且受保护的。确认过依赖后属主或用途不明、没有更新责任人的服务应禁用或移除——不要留不知道谁在听的端口。第二步按默认拒绝原则收紧入站流量Server Hardening and Maintenance 给出的 Firewall Design 原则是默认拒绝所有未经请求的入站流量然后只放行必需的服务。对一个简单 Web 服务器公网入站最多只需要TCP 80 HTTP and certificate validation workflow TCP 443 HTTPS管理访问如 SSH的开放范围应根据实际的恢复路径和网络设计来限制而不是照抄一个固定端口清单。IPv4 与 IPv6 的防火墙策略要分别确认不能只测一边。执行规则时使用服务器上已经选定的防火墙系统。Prepare a Linux Web Server 的 Firewall Check 一节明确写道Use the firewall system already chosen for the server——文档不指定 ufw、nftables 等具体工具的命令以系统现用工具为准原则是permit only required inbound services至少网站流量需要 TCP 80 和 443管理访问要限制得尽量紧不要把无关的管理端口暴露到公网同节要求每次收紧后立即验证见下节确认没有切断恢复路径和正常访问。第三步验证端口清单与入站规则收紧后重跑端口清点并与基线对比确认剩余监听器都符合记录表sudo ss -lntupSecure, Monitor, and Back Up 的 Step 6Apply Server Baseline要求确认只有必需的公开端口开放后重跑sudo ss -lntup与sudo nginx -t。完整验证清单sudo nginx -t systemctl status nginx --no-pager journalctl -u nginx --since 30 minutes ago --no-pager再从外部机器测试端口可达性nc -vz example.dpdns.org 80 nc -vz example.dpdns.org 443文档提醒nc只证明 TCP 连接建立不能证明 HTTP、TLS 或应用层正常所以还要做应用层验证curl -I http://example.dpdns.org如果要在 DNS 生效前就验证可以用 Host 头直连服务器地址192.0.2.10为文档示例地址curl -I -H Host: example.dpdns.org http://192.0.2.10如果 DNS 解析正常但连接超时按 Troubleshooting Decision Trees 中 DNS Resolves but Website Times Out 决策树逐层判断记录观察结果后再动配置服务器在网络层是否可达不可达先查路由与服务器可用性端口 80/443 是否在监听没有则启动或配置 Web 服务器网络与主机防火墙是否放行该连接没有则应用审核过的防火墙规则Apply the reviewed firewall rule前三步都正常再检查虚拟主机、TLS 和应用日志。What DigitalPlat Does 的故障分层表把这一现象归到Correct DNS but connection timeout → Server and firewall即 DNS 已经正确时问题在服务器与防火墙层不在 DNS 层。月度复核与限制Server Hardening and Maintenance 把Review listening ports and service owners列入 Monthly Maintenance Checklist端口审计是持续性动作每月至少复核待处理的安全更新监听端口与服务负责人备份与恢复测试磁盘空间与日志轮转账号与 SSH 访问证书续期DNS 与 nameserver 变更移除废弃的文件、记录集与集成测试公开用户路径记录完成情况和未解决的风险。收尾时记住几条硬边界不能切断唯一恢复路径调整 SSH 网络访问或禁用旧认证前必须先验证恢复路径可用IPv4 与 IPv6 防火墙策略分别确认只做完一边不算完成数据库、缓存和内部应用端口保持在私有或本地接口上除非远程访问被明确设计并受保护管理接口在可能的情况下不要放在公开路径规则改动前先确认备份存在按 Hardening Lab 的节奏一次做一个安全改进然后验证服务不要一次改多项再排查文档给出的是端口清点命令、入站策略原则与验证手段具体防火墙命令取决于服务器已选择的防火墙系统文档未指定 ufw、nftables 等工具的具体写法。【免费下载链接】US.KGFree domain registration and practical DNS learning resources for everyone.项目地址: https://gitcode.com/GitHub_Trending/us/US.KG创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考