端口一关，数据无忧：服务器安全优化实战

　　去年九月份，我关了那台老ESXi上三百七十二条 purge 规则里唯一没关的 8080——就那个给内部监控埋点用的、三年没动过的反向代理端口。关完三分钟，grafana报警消了，但运维小张冲进来时手里攥着半杯凉透的美式，杯底印着某云厂商的鲸鱼logo，他裤子后袋还露着半截采购单回执联。

　　我原以为得盯半小时日志看有没有下游崩，结果连tail -f都懒得开。数据真就……停那儿了。不是挂，不是抖，是静音。像把耳机线从声卡上拔了，不是没声音，是压根没通电。这个我敢打包票：只要没人手动curl /health 这个路径，整套链路就是真空态。优胜劣汰？对，淘汰的是那些“万一要查”“留着备查”“老板说留着”的端口。留着的全是活口，关掉的全是尸块。

　　跟老板拍账单那天，我直接调出去年Q3的waf拦截日志截图，打了个框圈住“connection refused”，下面手写一行：“此IP非攻击源，系端口关闭后自动放弃重试”。老板盯着看了十秒，忽然问：“那个节点分布图上，左下角带红点的，是你们自己标错了吧？”——对，就是那个无关的小红点，标在云南昆明IDC的边缘节点上，其实是去年做容灾演练时误点的告警标记，至今没清，谁都没管。

　　后来厂商销售电话追过来，说他们刚推的“智能端口画像系统”能自动识别“沉默资产端口”。我听着听着，突然想起后端老李上周在钉钉群发的截图：他改了七次docker-compose.yml里ports那一行，第七次才记得加- “- 8080:8080”。他发完又撤回，换条消息说“算了，反正不走外网”。我说你删啊，他说“删了怕哪天又要开，先注释着吧”。结果注释着注释着，连自己都忘了注释里写了啥。这种“伪关停”，比开着还危险——开着好歹有日志可查，注释着？连防火墙规则表都找不到它。

　　所以我不信什么“智能收敛”“动态端口治理”。我信手关。一串for循环敲完，ss -tuln | grep : | awk '{print $5}' | sort | uniq -c，数出来三十七个监听端口；再筛一遍，去掉docker.sock、/run/containerd/containerd.sock、/var/run/redis.sock——这些算不算“业务端口”？我说不准。但nginx监听的443和80必须留，其他？统统firewall-cmd --permanent --remove-port=xxx/tcp；reload完，等三分钟，再跑一遍ss。漏掉一个，就说明有人在后台起新容器没通知。这事得人盯，不能靠指标。监控大屏右上角那个“SSL握手延迟（毫秒）”的曲线刚才抖了一下，幅度十七毫秒，和我们操作无关，是隔壁组在测QUIC升级，我瞅了一眼就没再管。

　　前几天翻旧工单，看见五月有个case：客户投诉“数据导出卡顿”，排查发现是某个临时搭建的Prometheus exporter被误配成开放61000-61009全段。导出卡顿？根本不是卡，是每次curl /metrics 都得排队等tcp handshake timeout。他们最后解决方案是——加限流。对，给一个本该关闭的端口加rate limit。这事儿我没参与，但听后端老李复盘时提了一嘴：“限流规则写错了，把所有IP都block了。”他一边说一边去倒水，接水时抬头看了眼窗外飞过去的三只麻雀，排成歪斜的“7”字形。

文章配图，仅供参考

　　我试过把这件事讲给采购流程负责人听。她听完点头，转身在OA里填了一个《服务器资源释放评估表》，其中有一栏叫“关端口后的合规性确认依据”。我写了“无依据”，她皱眉删掉，改成“依据：实际观测无故障持续时间 > 72h”。她问我：“够不够？”我说够。但她又加了一句：“明年KPI里要拆一条‘端口关闭率’，折算成年度资源节约额。” 我没接话。她也没等我接，起身去茶水间，路过运维小张工位时顺手把他桌上的麒麟操作系统光盘塞进了自己帆布包侧袋——那盘子早停产了，封面上印着“V2.0”，还是2018年备案的版本。

　　现在我的做法更野：每月第一个周五下午三点，全站轮询所有生产服务器，grep -r "listen.[0-9]" /etc/nginx/conf.d/；找到就关。不是停服务，是直接rm -f。nginx -t 检验失败？说明配置还活着，那就再删一次。删到test通过为止。删掉的文件夹我命名统一叫“_shut_up_”，里面放个README.md，只写一行：“勿恢复。勿提问。勿统计。”

　　下个月打算试试把SSH的22端口也挪到非常规端口，再设个fail2ban——但说实话，我现在有点拿不准：到底是22端口危险，还是我们总以为它最危险，反而让它成了唯一长期在线的破绽？这个我说不准。你要是下周路过机房，看见我在配跳板机密钥，别拦我，我可能正在把最后一台还在listen :22 的服务器踢出Ansible inventory。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!