端口一关，数据无忧：9年安全管理员的服务器科技防护实战

　　跟老板拍桌子那天是去年寒假，腊月二十三，小年。我盯着他屏幕右下角弹出来的那个 RDP 连接失败告警，手指已经按在键盘上想输 iptables -L 了，结果他抬手把笔记本一合，说“先吃饭，饭后咱们聊架构升级”。我当场把保温杯盖子拧松了又拧紧，拧了三遍。这事儿跟架构升级有半毛关系？没有。端口一关，数据无忧——这话不是口号，是我在十八台被扫爆过的历史服务器残骸上舔着伤口总结出来的。优胜劣汰？对。不是技术淘汰人，是端口不关的服务器自己先被淘汰，连日志都没留全。

　　我原以为关 SSH 默认端口就能喘口气，结果运维组老张昨天还在群里发截图：Lighthouse 跑分截图发到群里没人回，底下还带个“首屏时间：三百七十二 KB”，压根没看单位写错了。我截图截到一半，手滑点进 Docker Desktop，发现 desktop 启动日志里混着一条 containerd 的 panic，但没点开——反正不是我的责任面。下午三点，PM 小陈蹲在茶水间接水，水龙头哗哗响，她边拧瓶盖边问“能不能给测试环境开个 MongoDB 外网端口”，我说“你上次说只开半小时，现在都挂了四天了”，她嗯了一声，倒完水走了，没回我话。

　　后端老刘的 MacBook Air 换了一根白色 Type-C 充电线，比原来那根细一圈，充电提示灯亮得更急。他跟我说：“你看这个线，轻便。”我说：“你上个月丢的那台 Redis 实例，也是轻便。”他笑，我笑不出来。我们俩一起看过那台服务器最后十分钟的日志：从凌晨两点十七分开始有异常连接请求，到两点二十一分，共七百六十三次 SYN 包撞在 27017 端口上，没一个响应。它没被黑，是被撞死的。不是漏洞利用，就是——端口开着，有人敲门，敲到门框塌了。

　　桌面那个没关的录屏软件一直在运行，图标缩在右下角，红色圆点一闪一闪。我没关，因为正等一个 curl 请求返回，它卡在 TCP handshake 阶段，三十秒没动静。这个我敢打包票：只要端口开着，哪怕服务没启动、哪怕进程根本不存在，SYN 包照样收得到、ACK 照样能伪造、扫描器照样把你标成“MongoDB 暴露”——就因为你监听了那个数字。不是所有扫描都走协议握手，有些就靠你 TCP SYN-ACK 的指纹回声打分。这点事儿讲给前端听，他正在调 SVG 动画帧率，头都不抬：“那我关掉本地 dev-server 的 3000 端口？”我愣了一下，说：“……你本地关不关，跟我这儿的日志报警没关系。”他说：“哦。”然后点了三下刷新键，每一下都带着 F5 键音。

　　CDN 账单上周又涨了，不是流量涨的，是 WAF 规则调用次数——每天多出八千多次“疑似 MongoDB 探针”，全指向同一个 IP 段，查了是某家高校的教育网出口，学生在扫 C 段做课设。他们没进数据库，但他们成功让我们的 WAF 日志体积膨胀了百分之四十七。这事不能报风险——报了就得整改，整改就要加白名单，加白名单就得填五张表，还得法务会签。所以最后我手动在 Nginx 配置里加了 return 444；没走 WAF，直接在 TCP 层干掉。这招不好听，但省事。KPI 折算下来，一条 444 能抵零点二三条“高危漏洞闭环”。

文章配图，仅供参考

　　我桌上还有张没撕的便签，写着“确认阿里云安全组策略是否继承自 VPC 默认组”——写了有十一天，没去查。因为我知道，查了也白查。默认组是放通 22/80/443 的，而真正让我失眠的，是那台离线了三年的老 ELK 实例，它的 EIP 还挂在账号里，没释放，端口开着，SSH 密码还是初始值。这个我说不准，但上周我梦见它被扫出来，弹窗里滚动着一万个“Authentication succeeded”。醒过来第一件事是 ssh admin@xxx.xxx.xxx.xxx ——连接超时。好。真好。

　　今天下午我把所有非核心服务的端口全部 drop 了，除了 DNS、HTTP、HTTPS 和那个必须活着的 Kubernetes apiserver。剩下的，全丢进 host-firewall 的 reject 链里。不是为了合规审计，也不是为等什么通报。就是累了。你要是现在问我下一步干什么……我去把录屏软件关了，再顺手把后端老刘那根新充电线的 USB-A 口掰弯一点——他明天肯定又忘拔线，我看着烦。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!