我的运维笔记

# journalctl -u sshd：查看 sshd 服务日志
# grep -i "failed"：只筛登录失败行（-i 忽略大小写）
# tail -30：只看最后 30 条
sudo journalctl -u sshd | grep -i "failed" | tail -30

sudo adduser study                # 新建普通用户
sudo passwd study                 # 设置登录密码（输入两次）
sudo usermod -aG wheel study      # 加入 wheel 组，才能用 sudo

# -t ed25519：现代、短小而安全的算法
# -C "..."：备注，方便日后辨认这是哪把钥匙
ssh-keygen -t ed25519 -C "你的名字-服务器加固"

# Windows
type $env:USERPROFILE\.ssh\id_ed25519.pub

# Mac / Linux
cat ~/.ssh/id_ed25519.pub

sudo su - study                   # 切换用户，- 表示加载其环境
mkdir -p ~/.ssh                   # -p：目录已存在也不报错
chmod 700 ~/.ssh                  # 仅本人可进入
vi ~/.ssh/authorized_keys         # 按 i 粘贴 → Esc → :wq 保存

chmod 600 ~/.ssh/authorized_keys  # 仅本人可读写，SSH 强制要求
ls -l ~/.ssh                      # 应显示 -rw-------，属主是自己

ssh study@服务器公网IP

sudo adduser teacher
sudo mkdir -p /home/teacher/.ssh
sudo vi /home/teacher/.ssh/authorized_keys   # 贴入【老师发来的公钥】

sudo chmod 700 /home/teacher/.ssh
sudo chmod 600 /home/teacher/.ssh/authorized_keys
sudo chown -R teacher:teacher /home/teacher/.ssh

# teacher 没有密码，而 wheel 组 sudo 必须输本人密码，所以单独配免密
echo "teacher ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/teacher
sudo chmod 440 /etc/sudoers.d/teacher        # sudoers 规则要求 440
sudo visudo -c                               # 语法检查，全部 parsed OK 才行
sudo -u teacher sudo -n true && echo "teacher 免密 sudo 可用"

sudo vi /etc/ssh/sshd_config

PubkeyAuthentication yes       # 允许密钥登录（加固的基础）
PasswordAuthentication no      # 禁止密码登录 ← 确认密钥可用后再改
PermitRootLogin no             # 禁止 root 直接远程登录
MaxAuthTries 3                 # 单连接最多 3 次认证，拖慢爆破
ClientAliveInterval 300        # 每 300 秒探测客户端是否在线
ClientAliveCountMax 2          # 连续 2 次无响应即断开，清理空闲会话
AllowUsers study teacher       # 登录白名单，其余一律拒绝

sudo sshd -t                    # 无输出即正确；有错会指出行号
sudo systemctl reload sshd      # reload 不会断开当前连接（比 restart 安全）

sudo firewall-cmd --permanent --add-service=ssh   # 写永久规则
sudo firewall-cmd --reload                        # 重载才真正生效
sudo firewall-cmd --list-all                      # 核对放了哪些服务/端口

# -t 只看 TCP　-l 只看监听　-n 用数字不解析域名　-p 显示进程
sudo ss -tlnp

sudo dnf install -y epel-release   # 先装 EPEL 扩展源
sudo dnf install -y fail2ban       # 再装本体

sudo vi /etc/fail2ban/jail.d/sshd.local

[sshd]
enabled  = true         # 启用本规则
backend  = systemd      # Rocky 9 日志由 systemd 管理，别照抄读 /var/log/secure 的老写法
maxretry = 3            # 最大失败次数
findtime = 600          # 统计窗口 600 秒（10 分钟）
bantime  = 3600         # 封禁 3600 秒（1 小时）

sudo systemctl enable --now fail2ban    # 启动 + 开机自启
sudo fail2ban-client status sshd        # 重点看 Banned IP list

# 看 Address 一栏是不是你的服务器公网 IP
nslookup 你的域名
nslookup www.你的域名

sudo firewall-cmd --permanent --add-service=http   # 永久放行 TCP 80
sudo firewall-cmd --reload                         # 使规则生效
sudo firewall-cmd --list-services                  # 应包含 ssh 和 http

sudo dnf install -y nginx
sudo systemctl enable --now nginx     # 启动 + 开机自启
systemctl status nginx                # 应为 active (running)，按 q 退出
nginx -v                              # 版本号

sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite    # 之后改网页不必 sudo
sudo chmod 755 /var/www/mysite               # 属主可读写，其他人（含 Nginx）可进入
ls -ld /var/www/mysite                       # 应显示 drwxr-xr-x

getenforce    # 阿里云 Rocky 镜像默认 Disabled，本章不涉及 SELinux

sudo vi /etc/nginx/conf.d/mysite.conf

server {
    listen       80;                            # 监听 80，接收 HTTP 请求
    server_name  example.com www.example.com;   # 带 www 和不带 www 都要写
    root         /var/www/mysite;               # 网站文件目录
    index        index.html;                    # 默认首页文件
    access_log   /var/log/nginx/mysite_access.log;
    error_log    /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;              # 找不到就 404
    }
}

sudo nginx -t                    # 显示 syntax is ok 和 test is successful 才算过
sudo systemctl reload nginx      # reload 不中断正在进行的访问

# 方式一：本地写好，用 scp 上传（与 ssh 同一把密钥，免密）
scp index.html study@你的服务器公网IP:/var/www/mysite/

# 方式二：直接在服务器上编辑（目录已归 study，无需 sudo）
vi /var/www/mysite/index.html

curl -H "Host: 你的域名" http://127.0.0.1   # 返回你的主页
curl http://127.0.0.1 | head -5                  # 返回默认测试页

echo "<h1>test</h1>" > /var/www/mysite/test.html
chmod 600 /var/www/mysite/test.html                      # 只有 study 能读
curl -I -H "Host: 你的域名" http://127.0.0.1/test.html    # 结果 403 Forbidden

ps -o user= -C nginx | sort -u                  # root（主进程）+ nginx（工作进程）
ls -l /var/www/mysite/                          # test.html 是 -rw-------
sudo tail -3 /var/log/nginx/mysite_error.log    # 有 (13: Permission denied)

chmod 644 /var/www/mysite/test.html                      # 其他人可读
curl -I -H "Host: 你的域名" http://127.0.0.1/test.html    # 200 OK
rm /var/www/mysite/test.html                             # 实验结束

sudo tail -f /var/log/nginx/mysite_access.log

sudo dnf install -y tcpdump

# -i any：所有网卡抓包　-A：以文本显示内容　-nn：IP/端口用数字
# 'tcp port 80'：只抓 HTTP　grep -a -E：只留请求行/域名/UA/标题
sudo tcpdump -i any -A -nn 'tcp port 80' | grep -a -E "GET |Host:|User-Agent|<title>"

sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-services     # 应包含 ssh、http、https

sudo dnf install -y certbot
certbot --version

# certonly：只申请证书，不自动改 Nginx（配置自己写才看得懂）
# --webroot：把验证文件放进网站目录，由 Nginx 发出去
# -w：网站目录，即 Nginx 里的 root
# -d：证书包含的域名，带 www 和不带 www 各写一个
# -m：联系邮箱　--agree-tos：同意条款　--no-eff-email：不订阅 EFF 邮件
sudo certbot certonly --webroot -w /var/www/mysite \
     -d example.com -d www.example.com \
     -m 你的邮箱 --agree-tos --no-eff-email --dry-run

sudo certbot certonly --webroot -w /var/www/mysite \
     -d example.com -d www.example.com \
     -m 你的邮箱 --agree-tos --no-eff-email

sudo certbot certificates                        # 域名、到期时间、剩余天数、文件位置
sudo ls -l /etc/letsencrypt/live/example.com/    # 目录名取自第一个 -d 域名

# -noout 不输出原始编码　-issuer 颁发者　-dates 生效/到期　-ext 域名列表
sudo openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem \
     -noout -issuer -dates -ext subjectAltName

sudo cp /etc/nginx/conf.d/mysite.conf /etc/nginx/conf.d/mysite.conf.bak

# ① 80 端口：验证文件 + 跳转
server {
    listen       80;
    server_name  example.com www.example.com;
    location /.well-known/acme-challenge/ {
        root /var/www/mysite;                    # 续期时仍靠 HTTP 读这里的文件
    }
    location / {
        return 301 https://$host$request_uri;    # 永久跳转到同一地址的 HTTPS
    }
}

# ② 443 端口：真正提供内容
server {
    listen       443 ssl;
    server_name  example.com www.example.com;
    ssl_certificate      /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols        TLSv1.2 TLSv1.3;        # 淘汰有漏洞的旧版本
    root         /var/www/mysite;
    index        index.html;
    access_log   /var/log/nginx/mysite_access.log;
    error_log    /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

sudo nginx -t                    # 必须 syntax is ok + test is successful
sudo systemctl reload nginx

curl.exe -I http://example.com        # 301，Location 指向 https://example.com/
curl.exe -I https://example.com       # 200 OK
curl.exe -I https://www.example.com   # 200 OK

sudo systemctl enable --now certbot-renew.timer   # 启用并开始计时
systemctl list-timers 'certbot*'                  # NEXT 一列是下次检查时间

sudo vi /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

# 脚本内容两行：
#!/bin/bash
systemctl reload nginx

sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
sudo /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh   # 无报错即可
systemctl is-active nginx                                    # 应显示 active

sudo certbot renew --dry-run    # 看到 all simulated renewals succeeded 即通

sudo tcpdump -i any -A -nn -c 40 'tcp port 443'