跨境独立站服务器端口扫描漏洞防护配置实战指南

为什么跨境独立站要关注端口扫描防护

端口扫描是攻击者探测服务器开放服务的常用手段，一旦暴露了未授权的服务或弱配置，就可能被利用发动入侵或DDoS攻击。
对于跨境独立站，服务器通常面向全球用户，更容易成为扫描目标。
做好端口扫描漏洞防护，能大幅降低被暴力破解、漏洞利用的风险。
本文以CentOS 7/Ubuntu 20.04为例，带零基础用户从准备到验证完整操作一遍。

操作前的准备工作

1. SSH登录服务器：使用你常用的终端工具（如PuTTY、Terminal）以root或sudo用户登录。
2. 查看当前开放端口：执行以下命令，记住返回结果，后面用来对比：

   ss -tuln

你会看到类似 0.0.0.0:22、0.0.0.0:80、0.0.0.0:443 这样的列表。
这些就是当前监听中的端口和服务。

1. 确认服务器防火墙状态：

• CentOS：systemctl status firewalld
• Ubuntu：ufw status

如果未启用，下文会教你配置。

核心操作：关闭多余端口并配置访问控制

第一步：关闭不需要的服务端口

根据第一步列出的端口，判断哪些是独立站运营必需的。
例如：

• 22（SSH，必须保留但可改端口）
• 80（HTTP）
• 443（HTTPS）

如果发现其他服务端口（如3306 MySQL、6379 Redis、8080测试端口等）非必要，立即关闭对应的服务或修改监听IP。

示例：临时关闭MySQL远程访问（仅允许本地）

# 编辑MySQL配置文件
sudo vi /etc/mysql/mysql.conf.d/mysqld.cnf
# 找到 bind-address = 0.0.0.0 改为 bind-address = 127.0.0.1
# 保存后重启MySQL
sudo systemctl restart mysql

第二步：使用防火墙限制端口访问

CentOS 使用 firewalld

# 只放行22、80、443端口
sudo firewall-cmd --permanent --add-port=22/tcp
sudo firewall-cmd --permanent --add-port=80/tcp
sudo firewall-cmd --permanent --add-port=443/tcp
# 拒绝所有其他入站（默认策略会拒绝，但安全起见明确设置）
sudo firewall-cmd --permanent --set-default-zone=drop
# 重新加载
sudo firewall-cmd --reload
# 查看生效规则
sudo firewall-cmd --list-all

Ubuntu 使用 ufw

# 先允许SSH，防止自己被踢出
sudo ufw allow 22/tcp
# 放行Web端口
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
# 启用防火墙
sudo ufw enable
# 查看状态
sudo ufw status verbose

注意：如果SSH端口（默认22）在操作中被误关闭，你会立刻断开连接。建议先保持一个备用SSH会话，或确认新规则生效前保留现有连接。

第三步：安装fail2ban防止暴力扫描

fail2ban可以监控日志，自动将短时间内多次连接失败的IP加入防火墙黑名单，对防御端口扫描和暴力破解非常有效。

安装（CentOS/Ubuntu通用）

sudo yum install fail2ban   # CentOS
# 或
sudo apt install fail2ban   # Ubuntu

配置保护SSH服务
创建配置文件 /etc/fail2ban/jail.local：

[DEFAULT]
bantime = 3600        # 封禁1小时
findtime = 600        # 检测10分钟内的失败次数
maxretry = 5          # 超过5次即封禁

[sshd]
enabled = true
port = 22
logpath = %(sshd_log)s

保存后启动并设置开机自启：

sudo systemctl start fail2ban
sudo systemctl enable fail2ban
# 查看封禁状态
sudo fail2ban-client status sshd

你还可以为Web服务（如Nginx/Apache）添加类似配置，避免扫描到目录遍历漏洞。

第四步：修改SSH默认端口（可选但强烈推荐）

编辑 /etc/ssh/sshd_config，找到#Port 22改为Port 2222（或其他高位端口），保存后重启SSH服务：

sudo systemctl restart sshd

注意：记得在防火墙中放行新端口；
退出前务必保持一个旧连接，测试新端口能登录后再关闭旧连接。

避坑指南：新手最容易犯的错

• 别忘记放行SSH端口：修改SSH端口或启用防火墙时，务必先放行当前SSH端口，否则自己将被踢出服务器。
• 不要关闭系统服务端口：例如关闭systemd或rpcbind相关端口可能导致系统异常；只关闭确实不需要的服务端口。
• 防火墙规则顺序有讲究：firewalld的drop区域会拒绝所有入站，必须确保添加了必要的允许规则。如果忘记加规则，直接set-default-zone=drop会导致无法访问，需要从VNC/IPMI恢复。
• fail2ban误封自己怎么办：如果自己的IP被误封，可以用fail2ban-client set sshd unbanip <你的IP>解除；或者将办公室IP加入白名单。

效果验证：如何确认防护生效

1. 再次使用ss -tuln 查看监听端口，应只有22、80、443（或你修改后的SSH端口）等必要端口对外开放。
2. 使用在线端口扫描工具（如ping.pe的端口检测或yougetsignal.com）从外网扫描你的服务器IP，只应看到允许的端口全开，其余端口应显示“closed”或“filtered”。
3. 模拟攻击测试（从另一台机器）：

• 尝试多次SSH错误密码登录，查看fail2ban是否将该IP封禁：sudo fail2ban-client status sshd 应该显示被ban的IP列表。

1. 检查日志：查看防火墙日志（journalctl -u firewalld 或 /var/log/ufw.log），确认拒绝记录在不断增加，说明规则生效。

如果你正在处理跨境独立站服务器端口扫描漏洞防护，建议先按本文步骤完整执行，再根据自己的业务额外调整白名单或监控策略。
遇到异常时，优先回看避坑和高频问题部分。