191 lines
7.4 KiB
Markdown
191 lines
7.4 KiB
Markdown
---
|
||
title: "从手动封 IP 到三层自动防御：VPS 舰队安全闭环"
|
||
description: "当爆破扫描成为日常，手动封 IP 撞不过自动化攻击脚本。记录从 fail2ban 到 auto-ban cron 到 Cloudflare WAF 的三层防御闭环，以及 git 历史凭据脱敏实战。"
|
||
date: 2026-08-02T10:50:00+08:00
|
||
draft: false
|
||
tags:
|
||
- 运维
|
||
- 安全
|
||
- Ansible
|
||
- UFW
|
||
- Cloudflare
|
||
---
|
||
|
||
## 背景
|
||
|
||
昨天的[安全加固日记](/posts/fleet-security-day/)写完了 SSL 续签、WAF 规则和 Ansible 初步落地。今天上线 Ansible 巡检后，第一件事就是看看三台机器到底在被怎么打。
|
||
|
||
结果不出所料——**每天都被爆破扫描，只是之前没人系统看过**。
|
||
|
||
## 一、三节点安全现状：数字说话
|
||
|
||
用 Ansible 一条命令查三节点的 SSH 爆破和 Web 扫描情况：
|
||
|
||
| 节点 | SSH 爆破次数 | fail2ban 封禁 IP | Web 404 扫描 | 威胁等级 |
|
||
|------|:--:|:--:|:--:|:--:|
|
||
| 🇦🇺 澳大利亚 | 547 | 138 | 46 | 中 |
|
||
| 🇩🇪 法兰克福 | 197 | 54 | 0 | 低 |
|
||
| 🇸🇬 新加坡 | 25 | 171 | 64 | 中 |
|
||
|
||
新加坡 SSH 爆破最少（25 次），但封禁 IP 最多（171 个）——说明它被大量**不同来源**的 IP 扫过，攻击者换 IP 的频率远高于另外两个节点。澳大利亚的 Web 扫描有人在打 `/phpunit/eval-stdin.php`（PHP 反序列化利用）和 `/xmlrpc.php`（WordPress XML-RPC 攻击），经典自动化扫描套路。
|
||
|
||
**好消息**：全部防住了。SSH 爆破被 fail2ban 拦截，Web 扫描返回 404 没打到真实漏洞。
|
||
|
||
**坏消息**：fail2ban 只封单 IP，攻击者换 IP 就绕过了。手动封？88 个新攻击 IP，手动封到什么时候？
|
||
|
||
## 二、从 fail2ban 到三层防御
|
||
|
||
### 第一层：fail2ban（已有，实时）
|
||
|
||
fail2ban 监控日志，对 SSH 爆破和 Web 扫描的**单 IP** 临时封禁（通常 1 小时）。这是第一道防线，够快但不够狠——攻击者换个 IP 就回来了。
|
||
|
||
### 第二层：auto-ban.sh（新增，每小时）
|
||
|
||
核心思路：**不要封单个 IP，封整个 /24 网段**。同一攻击者大概率来自同一个网段，封网段比封 IP 有效得多。
|
||
|
||
写了一个 shell 脚本，部署到三节点 cron 每小时执行：
|
||
|
||
```bash
|
||
# 核心逻辑（简化版）
|
||
{
|
||
# 提取 SSH 爆破 IP
|
||
grep 'Failed password' /var/log/auth.log | extract_ip
|
||
# 提取 Web 404 扫描 IP
|
||
grep ' 404 ' /var/log/nginx/access.log | extract_ip
|
||
} | sort -u | while read ip; do
|
||
# 排除白名单（自家 IP + Cloudflare 边缘 IP + 私有网段）
|
||
is_whitelisted "$ip" && continue
|
||
# 转 /24 网段
|
||
net="${ip%.*}.0/24"
|
||
# 跳过已封（state 文件去重）
|
||
grep -qxF "$net" "$STATE" && continue
|
||
# 永久封禁
|
||
ufw deny from "$net" to any
|
||
echo "$net" >> "$STATE"
|
||
done
|
||
```
|
||
|
||
**关键设计**：
|
||
|
||
| 设计点 | 为什么 |
|
||
|--------|--------|
|
||
| 按 /24 网段封 | 单 IP 封了攻击者换 IP 就绕过，网段封更彻底 |
|
||
| state 文件去重 | 避免重复封禁同一个网段，ufw 规则不会膨胀 |
|
||
| 排除 Cloudflare IP | CF 边缘 IP 频繁出现在日志里（代理流量），不能封 |
|
||
| 排除自家 IP | 四节点互跳频繁，别把自己封了（血泪教训） |
|
||
| ufw deny 全端口 | SSH + Web 一起封，不让攻击者换端口回来 |
|
||
|
||
**首次执行结果**：
|
||
|
||
| 节点 | 新封 /24 网段 |
|
||
|------|:--:|
|
||
| 法兰克福 | 13 |
|
||
| 澳大利亚 | 65 |
|
||
| 新加坡 | 91 |
|
||
| **合计** | **169** |
|
||
|
||
加上前一天手动封的 9 个 AWS/Azure 网段，总计 178 个攻击网段被永久封禁。
|
||
|
||
### 第三层：Cloudflare WAF（常驻）
|
||
|
||
CF 层在入口拦截扫描器和恶意路径，不合法的请求根本到不了源站。配合 `renhea.com` 前哨域名（CF 代理隐藏源站 IP），攻击者连真实 IP 都摸不到。
|
||
|
||
### 三层协同
|
||
|
||
```
|
||
攻击者
|
||
│
|
||
├─ 扫描器/恶意路径 ──→ 第 3 层 CF WAF 拦截（到不了源站）
|
||
│
|
||
└─ 直连源站 IP
|
||
│
|
||
├─ SSH 爆破 ──→ 第 1 层 fail2ban 实时封单 IP（1h）
|
||
│ │
|
||
│ └─ 第 2 层 auto-ban 每小时封 /24（永久）
|
||
│
|
||
└─ Web 扫描 404 ──→ 第 1 层 fail2ban nginx-botsearch 封 IP
|
||
│
|
||
└─ 第 2 层 auto-ban 每小时封 /24（永久）
|
||
```
|
||
|
||
## 三、Ansible 部署：一条命令推三节点
|
||
|
||
手动 SSH 到三台机器部署脚本太低效。用 Ansible playbook 一键搞定：
|
||
|
||
```yaml
|
||
- name: Deploy auto-ban script to fleet
|
||
hosts: fleet
|
||
tasks:
|
||
- copy: src=auto-ban.sh dest=/usr/local/bin/ mode=0755
|
||
- shell: /usr/local/bin/auto-ban.sh # 首次立即执行
|
||
- cron: name="auto-ban" minute=30 hour=* # 每小时 :30
|
||
```
|
||
|
||
`ansible-playbook deploy-auto-ban.yml` 一条命令，三节点同时部署脚本 + 执行 + 配 cron。这就是 Ansible 的价值——**把重复操作变成声明式配置**。
|
||
|
||
> 踩坑：Ansible `copy` 模块的相对路径基于 playbook 所在目录，不是 ansible.cfg 目录。用绝对路径最省心。
|
||
|
||
## 四、git 历史凭据脱敏
|
||
|
||
部署完防御机制，回头检查项目仓库——发现自己犯了个低级错误：**代理 UUID 和真实 IP 都提交到 git 历史里了**。
|
||
|
||
### 暴露了什么
|
||
|
||
| 敏感信息 | 位置 | 风险 |
|
||
|----------|------|------|
|
||
| VLESS 代理 UUID | `config/xray/*.md` | 攻击者可冒充代理节点 |
|
||
| 服务器真实 IP | 多个文件 | 绕过 CF 直连源站 |
|
||
| 分享链接（含 UUID+路径） | `config/xray/*.md` | 完整代理凭证泄露 |
|
||
|
||
### 修复方案
|
||
|
||
NAS 的 git 版本太老不支持 `git filter-branch`，而且仓库只有 4 个 commit——**直接重建历史最干净**：
|
||
|
||
```bash
|
||
# 1. 备份文件（不含 .git）
|
||
cp -r . /tmp/clean && rm -rf /tmp/clean/.git
|
||
|
||
# 2. 写好 .gitignore（排除敏感文件）
|
||
# config/xray/*.md ← 含 UUID
|
||
# docs/WORKFLOW_APPEND.md ← 含真实 IP
|
||
# scripts/deploy.sh ← 含真实 IP
|
||
|
||
# 3. 删旧历史，重新 init
|
||
rm -rf .git && git init && git add -A
|
||
|
||
# 4. 验证无敏感信息再提交
|
||
git grep -E "uuid|password|token|[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+"
|
||
git commit -m "feat: 脱敏版"
|
||
```
|
||
|
||
### 教训
|
||
|
||
1. **.gitignore 要在第一次 commit 前就写好**，不是事后补
|
||
2. **配置文件和文档要分离**：通用配置入 git，真实凭证（UUID/IP/密码）只存节点本机
|
||
3. **重建历史只适合小仓库**（几个 commit），大仓库必须用 `git filter-branch` 或 BFG
|
||
|
||
## 五、踩坑总结
|
||
|
||
| 坑 | 原因 | 解决 |
|
||
|----|------|------|
|
||
| fail2ban allports 误封自家 IP | 舰队节点互跳触发 SSH 爆破规则 | 四节点 IP 加入 ignoreip 白名单 |
|
||
| Ansible copy 找不到文件 | 相对路径基于 playbook 目录 | 用绝对路径 |
|
||
| git 凭据泄露 | .gitignore 写晚了 | 重建历史 + 敏感配置不入库 |
|
||
| auto-ban 封到 Cloudflare IP | CF 边缘 IP 出现在 nginx 日志 | 脚本排除 CF IP 段 |
|
||
|
||
## 总结
|
||
|
||
从昨天手动检查 SSL、手动配 WAF，到今天 Ansible 一键巡检、auto-ban 自动封禁——**运维的本质就是把手动操作变成自动化流程**。
|
||
|
||
三层防御体系现在完整了：
|
||
|
||
- **fail2ban**：实时封单 IP，快但不持久
|
||
- **auto-ban cron**：每小时封 /24 网段，持久且自动去重
|
||
- **Cloudflare WAF**：入口拦截，攻击者摸不到源站
|
||
|
||
攻击者用自动化脚本扫描，我们就用自动化脚本防御。这不是军备竞赛——**这是把重复劳动交给机器**。
|
||
|
||
---
|
||
|
||
*本文已脱敏，不含真实 IP、UUID 或凭证。*
|