安全加固步骤适配vps日本双线cn2第1次部署的防护清单

1.

部署目标与环境说明

1. 目标：在日本机房、CN2 双线回程的 VPS 上完成首次生产部署并达到基础防护等级。
2. 适用对象：面向需要对中国大陆用户加速且对抗小到中等 DDoS 的站点与 API 服务。
3. 默认风险：SYN 洪水、UDP 放大、应用层爬虫、SSH 暴力破解、Web 漏洞利用。
4. 边界条件：VPS 规格、带宽与是否接入上游抗 DDoS 决定策略阈值。
5. 输出成果：生成防护清单、内核/防火墙配置样例、监控与恢复流程。

2.

初始清点与基础配置

1. 列出资产：公网 IPv4/IPv6、域名、A/AAAA 解析、SSH 端口、控制面板端口。
2. 示例配置：hostname=jp-cn2-01；时区=Asia/Tokyo；OS=Ubuntu 22.04；内核=5.15.0-50-generic。
3. 网络参数：MTU 保持 1500 或运营商建议值；默认路由与第二出口的状态确认。
4. 账号策略：root 禁用密码登录，创建管理组 ubuntu-admin 并启用 sudo。
5. 初始备份：立刻创建快照并离线导出关键配置文件 /etc/ssh/sshd_config、/etc/hosts 等。

3.

网络与 DDoS 防护策略

1. 上游策略：优先接入具备清洗能力的带宽池或使用厂商提供的清洗服务，设置黑洞与清洗阈值。
2. 流量门槛：根据业务带宽设置告警阈值，示例：带宽上限 100 Mbps，告警 70 Mbps，清洗触发 2000 Mbps（上游能力允许）。
3. 连接数防护：限制 SYN 半连接，net.netfilter.nf_conntrack_max=262144，conntrack 超时调优。
4. 路由冗余：配置第二条回程并测试 failover，使用 BGP anycast 或 DNS 多数据中心策略。
5. 速率限制：在边缘或 CDN 设置每 IP 每秒请求上限，Web 场景建议 10-20 RPS 起步。

4.

操作系统与内核层加固

1. SSH 加固：端口改为 22022，PermitRootLogin no，PasswordAuthentication no，AllowUsers youruser。
2. 内核参数（示例）：net.ipv4.tcp_syncookies=1；net.ipv4.tcp_max_syn_backlog=4096；net.core.somaxconn=10240。
3. 文件描述符：调整 /etc/security/limits.conf，soft nofile 65536，hard nofile 131072。
4. 禁用不必要服务：关闭 ftp、telnet、rpcbind、avahi-daemon 等并 mask 服务。
5. 审计与补丁：启用 unattended-upgrades 或手工月度补丁策略并记录变更。

5.

防火墙与包过滤示例（iptables/nftables）

1. 基础策略：默认拒绝 INPUT，允许已建立连接与 loopback。
2. SSH 速率限制示例：iptables -A INPUT -p tcp --dport 22022 -m state --state NEW -m recent --set；iptables -A INPUT -p tcp --dport 22022 -m state --state NEW -m recent --update --seconds 60 --hitcount 6 -j DROP。
3. 防 SYN 洪泛：iptables -N SYNPROTECT；iptables -A SYNPROTECT -m limit --limit 200/s --limit-burst 300 -j RETURN；其余丢弃。
4. UDP 丢弃策略：对非业务 UDP 端口设置速率限制并丢弃异常报文。
5. 日志与黑名单：对重复触发的 IP 写入 /etc/hosts.deny 或使用 fail2ban 动态阻断。

6.

应用层与 CDN 配置

1. 部署 CDN：静态资源走 CDN，DNS 使用 CNAME 到加速域名，减少源站暴露带宽。
2. TLS 与 HSTS：使用 TLS1.3，优先使用 ECDHE-AESGCM-SHA384，启用 HSTS max-age=31536000。
3. Web 速率限制：nginx limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s；针对登录/接口更严格。
4. WAF 策略：启用规则集（SQLi、XSS、路径穿越），设置学习模式并逐步提升为阻断。
5. 会话与 CSRF：对敏感接口验证 Referer/Origin 并使用 CSRF Token。

7.

监控、日志与备份规划

1. 监控指标：带宽、pps、连接数、CPU、内存、磁盘 I/O、异常 4xx/5xx 比例。
2. 告警阈值：示例告警—带宽 > 70% 持续 5 分钟；连接数 > 200k；5xx 比例 > 2%。
3. 日志集中：通过 rsyslog/Fluentd 上传到异地日志服务器并启用 90 天周期存储。
4. 备份策略：每日增量、每周全量并保存 30 天；重要数据库异地热备并测试恢复。
5. 演练流程：每季度一次故障切换与恢复演练，记录 RTO 与 RPO，并更新文档。

8.

真实案例与配置数据举例

1. 案例简介：某 SaaS 在日本机房首次上线，VPS 规格为 4 vCPU、8 GB RAM、100 Mbps（无峰值计费），对接国内大客户。
2. 攻击事件：上线第 7 天遭遇 UDP 放大＋SYN 混合攻击，峰值流量 18.7 Gbps、220k pps，被上游清洗后回落至正常。
3. 关键配置摘录：sysctl 示例 net.ipv4.tcp_max_syn_backlog=8192；nf_conntrack_max=524288；ssh_port=22022。
4. 防护结果：应用 CDN + 上游清洗 + 本地 iptables 策略，服务恢复时间 TTM=3 分钟，业务无数据丢失。
5. 总结建议：上线前准备快照、设置清洗联动、部署 CDN，并把上述规则列入首次部署清单。

9.

VPS 配置表（示例与对比）

10.

部署检查表（首发必做项）

1. 创建并验证快照/备份，确认回滚路径。
2. 完成 SSH、用户与 sudo 策略，禁用 root 密码登录。
3. 完成内核与 sysctl 基线调整并持久化到 /etc/sysctl.conf。
4. 部署防火墙规则并做压力测试（模拟连接与并发）。
5. 接入监控与上游清洗供应商，演练清洗触发与 DNS 回切流程。

来源：安全加固步骤适配vps日本双线cn2第1次部署的防护清单