服务器端口安全怎么设置

# 查看所有监听端口，显示进程名与 PID（最关键的一条命令）
ss -lntup

# -l 仅监听  -n 不解析域名（快）  -t TCP  -u UDP  -p 显示进程
# 只看 TCP 监听
ss -lnt
# 只看 IPv4
ss -lntup -4
# 查看已建立的连接数与来源
ss -tnp state established

# 输出示例解读：
# LISTEN 0  128  0.0.0.0:3306  0.0.0.0:*  users:(("mysqld",pid=1024,fd=30))
#                 ^^^^^^ 监听所有网卡 = 公网可达，需要收敛
# LISTEN 0  128  127.0.0.1:6379 0.0.0.0:* users:(("redis-server",pid=888,fd=6))
#                 ^^^^^^^ 只监听回环 = 安全

# 按端口反查进程
ss -lntup | grep -w 9000
# 或
lsof -i :9000
# 或（需 root）
fuser -v 9000/tcp

# 端口被占用想释放时，不要直接 kill -9，先看是谁
systemctl status $(ss -lntup | awk '/:9000 /{print $NF}' | sed 's/users:(("//;s/".*//')

# 找出所有开机自启的服务
systemctl list-unit-files --type=service --state=enabled

# 停用并禁止开机自启（以 rpcbind 为例）
systemctl disable --now rpcbind.socket rpcbind

# 彻底卸载更干净
apt purge -y rpcbind      # Debian 系
# dnf remove -y rpcbind   # RHEL 系

# Redis /etc/redis/redis.conf
bind 127.0.0.1 10.0.0.12
protected-mode yes
requirepass Str0ng!Pass#2026
rename-command FLUSHALL ""
rename-command CONFIG ""

# MySQL /etc/mysql/mysql.conf.d/mysqld.cnf
bind-address = 10.0.0.12
skip-networking = 0

# Nginx 后台管理端口只允许内网
server {
    listen 10.0.0.12:8080;
    allow 10.0.0.0/8;
    allow 203.0.113.5;
    deny all;
    ...
}

# firewalld rich rule：SSH 只对办公室 IP 开放，MySQL 只对内网开放
firewall-cmd --permanent --remove-service=ssh
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.5/32" service name="ssh" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" port port="3306" protocol="tcp" accept'
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --reload
firewall-cmd --list-all

# 先清空再重建（务必保留当前 SSH 连接，并在控制台有备用通道时执行）
iptables -F && iptables -X
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 放行本地回环，否则很多本地服务会异常
iptables -A INPUT -i lo -j ACCEPT
# 放行已建立的和相关的连接（关键，否则出去的请求回不来）
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# 放行业务端口
iptables -A INPUT -p tcp --dport 80  -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# SSH 仅允许指定来源
iptables -A INPUT -p tcp -s 203.0.113.5 --dport 22 -j ACCEPT
# 允许 ICMP 便于排错（可选）
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# 持久化保存
iptables-save > /etc/iptables/rules.v4      # Debian: apt install iptables-persistent
# service iptables save                     # RHEL/CentOS 传统方式

# 在另一台机器（或用手机热点笔记本）上执行
# 快速扫描常见 1000 个端口
nmap -Pn -sV 203.0.113.10

# 全端口扫描（慢，但最彻底）
nmap -Pn -p- 203.0.113.10

# 只验证某几个端口是否可达
nmap -Pn -p 22,3306,6379,27017 203.0.113.10

# 无 nmap 时用 TCP 握手判断（返回 Connected 即为开放）
timeout 3 bash -c 'cat < /dev/null > /dev/tcp/203.0.113.10/3306' && echo "3306 开放" || echo "3306 不可达"

# 用在线端口扫描服务交叉验证（第三方视角最客观）
# 或直接看当前防火墙与安全组的差异
iptables -L INPUT -n -v --line-numbers
firewall-cmd --list-all-zones | head -40