互联网上的水太深，天天攻击我服务器

许多科研单位的服务器都是内网环境，只能在单位内访问，下班后离开单位就不能愉快的加班了。这样做的目的主要是从安全考虑。因为互联网非常危险。任何一台公网服务器随时都有来自很多方面的攻击。

尝试访问

如果你登入到一台公网服务器，稍微留心注意一下下面内容，告诉你从上次成功登录开始，已经有人用root账户尝试15043次失败登录了。为什么会失败，就是因为密码不正确。

为什么有人这么讨厌要不停尝试登录我的服务器呢，难道群众里面有坏人。其实这种情况也不用太担心。任何一台公网服务器都会面临这种被不停尝试登录的情况。别人大概率不是专门针对你，而是固定程序批量尝试各种IP。为什么要做这种事情呢，有很多种原因，主要还是因为有利益，如果拿下你的机器就可以利用里面的计算资源，比如挖矿，作为肉鸡继续攻击其他机器。

$ su -
Password:
Last login: Fri May 7 18:41:55 CST 2021 on pts/3
Last failed login: Mon May 10 13:16:08 CST 2021 from 89.252.160.99 on ssh:notty
There were 15034 failed login attempts since the last successful login.
(base) root 13:16:20 ~
$

如果查看

服务器的任何操作都会被记录，登录请求也会有登录日志，Linux系统的登入日志在/var/log目录下面。里面有很多secure文件，这些就是登录日志。

$ cd /var/log/
root 13:25:56 /var/log
$ ll secure*
-rw-------. 1 root root 6.8M May 10 13:25 secure
-rw-------. 1 root root 33M Apr 18 03:34 secure-20210418
-rw-------. 1 root root 39M Apr 25 03:45 secure-20210425
-rw-------. 1 root root 36M May 2 03:20 secure-20210502
-rw-------. 1 root root 32M May 9 03:23 secure-20210509
root 13:26:00 /var/log
$

浏览日志，就会看到里面有很多登录信息，有正常用户登录成功的信息，也包括很多尝试用不同账户密码进行暴力测试的失败信息。尤其是像root这样的用户名被测试的机会更多。这就是开头我们提到的15043次失败登录。

root 13:26:00 /var/log
$ tail -f secure
May 10 13:27:12 localhost sshd[128749]: Failed password for invalid user ftpuser1 from 154.8.228.67 port 45136 ssh2
May 10 13:27:12 localhost sshd[128749]: Received disconnect from 154.8.228.67 port 45136:11: Bye Bye [preauth]
May 10 13:27:12 localhost sshd[128749]: Disconnected from 154.8.228.67 port 45136 [preauth]
May 10 13:27:12 localhost sshd[128818]: Invalid user hudson from 222.190.254.130 port 37403
May 10 13:27:12 localhost sshd[128818]: input_userauth_request: invalid user hudson [preauth]
May 10 13:27:12 localhost sshd[128818]: pam_unix(sshd:auth): check pass; user unknown
May 10 13:27:12 localhost sshd[128818]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.
190.254.130May 10 13:27:14 localhost sshd[128818]: Failed password for invalid user hudson from 222.190.254.130 port 37403 ssh2
May 10 13:27:14 localhost sshd[128818]: Received disconnect from 222.190.254.130 port 37403:11: Bye Bye [preauth]
May 10 13:27:14 localhost sshd[128818]: Disconnected from 222.190.254.130 port 37403 [preauth]
May 10 13:27:25 localhost sshd[129098]: Invalid user n@g10s from 212.64.84.143 port 54322
May 10 13:27:25 localhost sshd[129098]: input_userauth_request: invalid user n@g10s [preauth]
May 10 13:27:25 localhost sshd[129098]: pam_unix(sshd:auth): check pass; user unknown
May 10 13:27:25 localhost sshd[129098]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=212.
64.84.143May 10 13:27:27 localhost sshd[129098]: Failed password for invalid user n@g10s from 212.64.84.143 port 54322 ssh2
May 10 13:27:28 localhost sshd[129098]: Received disconnect from 212.64.84.143 port 54322:11: Bye Bye [preauth]
May 10 13:27:28 localhost sshd[129098]: Disconnected from 212.64.84.143 port 54322 [preauth]

如何提升安全性

你没法阻挡别人尝试访问，就像我不喜欢你但你有权利追我一样。我们只能提高服务器的安全性。下面介绍一些提高安全性的方案。

1、最基本的就是设置一个复杂点的密码，不要123456；

2、用户名最好也复杂一些，不要创建test，test1，temp，ftp这样的；

3、关闭root直接登录，需要通过普通用户su才行，可以极大提高安全性，（通过root永远登录不了）；

4、将普通用户设置为管理员，比如随便一个普通用户升级为管理员；

5、修改端口号，默认ssh是使用22进行登录的，可以修改为其他的；

6、关闭账户密码登录，改用密钥登录，这样只有拿到文件密钥文件的用户才能登录，比如aws默认就是需要密钥登录；

7、设置白名单和黑名单，/etc/hosts.allow和hosts.deny文件，里面可以存储一些IP地址，进行隔离和放行；

8、安装防火墙，或安全软件，软件会自动将日志文件中连续登录失败的IP自动添加到hosts.deny中。

流量攻击

所谓道高一尺，魔高一丈，上面介绍的一些方法都是基本方法，如果遇到高手还是没用的，比如互联网上常见的流量攻击。比如来自全球每秒钟数十亿次以上的访问请求，网络就会拥堵，正常的访问请求就会被搁浅，也无法访问了。微博上经常有xx女星恋爱了，xx女星结婚了，xx男星出轨了，xx男星离婚了，xx男星出柜了这些八卦信息爆出来，服务器访问量突然暴增，服务器处理不了瞬时大量请求，就无法访问，也是同样的道理。

最后说一句，网上的水太深，一定要设置一个严格点的密码。