Linux 如何防止端口扫描

端口扫描是黑客常用的一种攻击手段，用于探测目标主机上开放的网络端口，并对其进行攻击。为了保护系统安全，Linux 提供了一些方法来防止端口扫描。本文将详细介绍如何使用这些方法来保护 Linux 服务器免受端口扫描的攻击。

1. 使用防火墙

防火墙是保护服务器免受未经授权访问的重要工具之一。它可以过滤网络流量，只允许特定的端口和协议通过。通过配置防火墙规则，我们可以选择性地允许或禁止某些端口被外部访问。下面是一些常用的防火墙工具：

1.1. iptables

iptables 是 Linux 上最常用的防火墙工具之一。它使用网络地址转换（NAT）技术来过滤网络流量。以下是一些常见的 iptables 命令：

# 清空所有规则
iptables -F
# 允许回环地址
iptables -A INPUT -i lo -j ACCEPT
# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 允许 SSH 连接
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 其他流量默认拒绝
iptables -A INPUT -j DROP

上述规则首先清空所有 iptables 规则，然后允许回环地址和已建立的连接通过。接下来，我们允许 SSH 连接通过端口 22，并且将不符合上述规则的流量拒绝。

1.2. UFW

UFW（Uncomplicated Firewall） 是基于 iptables 的一个简化用户界面。它提供了一组易于使用的命令，使配置防火墙更加简单。以下是一些常用的 UFW 命令：

# 允许 SSH 连接
ufw allow 22
# 允许 HTTP 连接
ufw allow 80
# 开启防火墙
ufw enable

上述命令允许 SSH 连接通过端口 22，并允许 HTTP 连接通过端口 80。最后，我们开启防火墙。

2. 使用端口反欺骗

端口反欺骗（Port Knocking）是一种隐藏开放端口的技术。它要求客户端在特定的顺序和时间内发送一系列无效的数据包，以触发服务器上的特定端口开放。以下是一些常见的端口反欺骗工具：

2.1. knockd

knockd 是一个基于客户端/服务器模型的端口反欺骗工具。它允许客户端发送预定义的数据包顺序来触发服务器上的特定端口开放。以下是一个基本的 knockd 配置示例：

[options]
    UseSyslog
[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 10
    tcpflags    = syn
    start_command = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
    cmd_timeout = 30
    stop_command  = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

上述配置表示在接收到客户端发送的数据包序列7000、8000、9000并在10秒内，将通过 iptables 命令允许访问服务器上的 SSH 端口。在30秒后，如果未收到新的有效数据包，将通过 iptables 命令拒绝进一步访问。

3. 使用端口和服务监控工具

端口和服务监控工具可以帮助我们及时发现并阻止对开放端口的扫描和攻击。以下是一些常见的端口和服务监控工具：

3.1. Fail2Ban

Fail2Ban 是一种日志分析工具，用于实时监控系统日志中的恶意行为并自动禁止相关 IP 地址的访问。以下是一个基本的 Fail2Ban 配置示例：

[sshd]
    enabled  = true
    port     = ssh
    filter   = sshd
    logpath  = /var/log/auth.log
    maxretry = 5

上述配置表示启用 Fail2Ban 来监控 SSH 日志文件/var/log/auth.log，如果一个 IP 地址在5次登录尝试中失败，则自动禁止该 IP 地址的访问。

3.2. PortSentry

PortSentry 是一个基于主机的入侵检测系统，它通过监听系统上的端口和服务来检测恶意行为。以下是一个基本的 PortSentry 配置示例：

TCPServer,80,3
UDPServer,53,3

上述配置表示监听端口80（TCP）和53（UDP），如果在3秒内收到超过3个连接，则自动阻止该 IP 地址的访问。

结论

端口扫描是黑客攻击的常见手段之一，为了保护 Linux 服务器免受端口扫描的攻击，我们可以使用防火墙、端口反欺骗和端口监控工具来加强服务器的安全性。通过合理配置和使用这些工具，我们可以大大降低服务器被攻击的风险。