VPS上的安全防護 -CSF防火牆 很多國外idc服務器都在使用

看到有同學講到VPS安全方面的，我也說說，推薦給大家一個軟件 CSF http://configserver.com/cp/csf.html

這兩年使用了很多國外的虛擬主機，發現他們的服務器上都幾乎都有安裝這個軟件。這個軟件也可以安裝在VPS上的，給你的VPS安全加上一道安全鎖。
; S$ r, x/ n; z- [" E  F$ J/ U
& p- X: L5 q7 C' x比如說只開通某些端口、監控進程/可疑文件、屏蔽端口掃瞄的IP 、監控負載報警，某種程度抵禦各種攻擊，以及一些異常發送郵件通知等等，這個軟件都可以做到。如果通過各種命令來完成這些操作，很多新手可能不懂。

CSF可以安裝在centos redhat 上面，完全支持xen、kvm虛擬架構的VPS，openvz也可以安裝，有小部分功能用不了。如果VPS或服務器上安裝有cpanel directadmin webmin控制面板，還可以使用圖形界面來配置，非常直觀。如果沒有的話，也可以修改CSF的配置文件來實現。

安裝很簡單。

1. wget http://www.configserver.com/free/csf.tgz
   3 k% @. Z% N( D' F5 d# M- X
2. tar -xzf csf.tgz
   
3. cd csf
   1 X% N/ m2 f1 w9 x( B
4. sh install.sh

複製代碼

安裝後運行下面的命令檢查是否正常。

1. perl /usr/local/csf/bin/csftest.pl

複製代碼

如果是openvz 可能會有一兩個錯誤提示，不過沒關係，大部分功能還是可以使用的。
接下來開始配置CSF  ，要修改的是這個文件  /etc/csf/csf.conf  ,修改之前先備份

1. cp /etc/csf/csf.conf /etc/csf/csf.conf.bak

複製代碼

然後就可以開始了。安裝後默認是測試模式，你要將

1. TESTING = "1"

複製代碼

改成

1. TESTING = "0"

複製代碼

CSF才能正常工作，一般來說默認的配置也是可以的正常使用的，這是針對大多數服務器通用的配置，但是每個人的需求可能不一樣，可以閱讀CSF的幫助文檔進行更改

1. http://configserver.com/free/csf/readme.txt

複製代碼

講一下最常用的修改 ，修改端口，只運行哪些端口是開啟的。其餘的端口都禁用。比如說關於端口部分可以改成下面這樣子 ，只留下80端口和ssh端口，如果還需要那些端口可以自己添加, 比如說要使用ssl證書，就要把443端口加上去。

1. # Allow incoming TCP ports
   ( J4 L# H, v* G0 C
2. TCP_IN = "80,4789"
   1 u% k: M7 I! K1 ]0 I# ?8 v
3. 
   1 a- \- ^# S# v% m0 h
4. # Allow outgoing TCP ports
   4 ?; E) K: u8 F+ v) J. l
5. TCP_OUT = "80"
   
6. 
   
7. # Allow incoming UDP ports
   
8. UDP_IN = ""
   
9. 
   
10. # Allow outgoing UDP ports
    
11. # To allow outgoing traceroute add 33434:33523 to this list
    * \# k! T9 B* `6 _
12. UDP_OUT = ""

複製代碼

設置最大的屏蔽IP數量 有臨時和永久兩種，最大值是1000個

1. DENY_IP_LIMIT = "100"
   + ?3 l: W3 X; @+ K; x
2. DENY_TEMP_IP_LIMIT = "100"

複製代碼

如果你不想某些IP訪問你的網站，你可以把IP添加到這個文件

1. /etc/csf/csf.deny

複製代碼

可以設置某個IP的最大連接數

1. CT_LIMIT = "200"

複製代碼

設置負載達到多大的時候發郵件通知你  ，比如負載達到4的時候。

1. PT_LOAD_LEVEL = "4"

複製代碼

還有其他的很多功能可以使用，具體可以參考CSF的readme文檔 http://configserver.com/free/csf/readme.txt

修改後記得重啟csf 使新設置生效。

1. csf -r

複製代碼

如果是使用cpanel da 或者是webmin ，csf有一個圖形界面可以提示服務器上存在的不安全配置，並告訴你要去修改哪裡，非常好用。



9 N# o7 x  B5 E: Y
純手打，如果這個對你有用，加點分把，

2 A( j: ^+ E2 ?! p9 C