ZHX98-Blog

网站安全——防止源站IP泄露

Tue, 23 Apr 2019 18:26:15 +0800

通常，我们在搭建完网站的时候，为了防止被攻击和隐藏源站IP，可能会使用一些CDN来保护源站，但是如果在什么地方疏忽了，源站IP可能还是会泄露（如Censys.io等网站可搜索到），这里提供一种方法来尽量避免这种情况的发生。

在使用nginx作为web服务器的时候，容易被恶意解析（比如别人直接用他的域名A记录解析到我的web服务器），在443端口上，这种情况可能更加严重。在直接访问443端口时，nginx会使用第一个配置了SSL的站点的证书来建立连接，导致源站IP暴露。比如上面提到的Censys.io，它的原理就是通过扫描全网IP的SSL证书，然后返回对应的域名，如果不加干预，再怎么套CDN也无济于事。那么我们可以通过前面介绍的宝塔面板配置一个空白证书到默认站点来解决问题。

这是一份长期有效的空白证书：

密钥(KEY)：

-----BEGIN RSA PRIVATE KEY-----
MIICXQIBAAKBgQDXyF6m81zOeoOPvfk6nGKtyfczRG6/yeSkcc+66vGvq0s8oB7V
cCzLl1YcNsru3ixelPR2z1zvjKqa9/Aqh8+TvP1kGGbLD/mynjnj8l+0vVzZ+vnz
AH0RN9fpqzlpHmFBHQzQ25AtIAH8pXOL1541YN0TNPRA3kHUCL0FH8CkwwIDAQAB
AoGAQ4ejh6AV5VCWJ8AOZXdXsofIYzUBa+glNAmiNx8b8BwteZWq0KVAf56nBkFn
lQXW4OrA7wXKUfW11rXNZaIHJePJXv1swkN9+Em18Hon6BrtcqnKAwzAbhok3SzY
IVjI/zrgOABH6+ii77xCRBzI1itVPNN88DAUHC7PYLYiaaECQQD7PSoij37+kMc/
wPeEkl9r3vzU0OrsCsjU8Ev714OaoL/SIuAh6nsiRh9rcbUrrpGSSzIcmsk9HMDa
hXBNkNl5AkEA298yQvssaUc4tbEWxAVfd9DsHJdCdbXfgf9Dy5/tpCzYncY7T0du
VVHqKu3jXWoMc5XlesiCOerU/DIlMM8dGwJBANQn7GLO5iC1xWvS2bF7oVSIMtzL
pvW4jaszWBbNAPccc59RkA9T4LMqn/GtTZ4bhhYRpbl+BB21IC3nrNPzU5ECQG8T
Ln0QDruQs2F2eR3F6RjKfr1i3LxCiQtPPZycypzp2vS5tDS0zVRk8XuGehoy/N9X
lnqU2NURgU92tbsWpokCQQDdc9tU3B/OM/YfzUNwvOLmUVwrJX6PFSFsOn+XHrCC
q9LcGEAHyzaf5GEWje84ee4rkv5oaZcwll3dg4IioBnC
-----END RSA PRIVATE KEY-----

证书(PEM格式)：

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

1.新建一个站点（我直接填的服务器IP，不创建FTP、数据库，PHP版本选纯静态）。

2.可以根据这篇文章把空白证书添加上去：https://zhx98.com/post/16.html

3.设置此站点为默认站点。

4.在下图的位置添加一句return 444;并保存

这样就大功告成了，服务器在被非正常访问时就会直接断开连接（返回HTTP 444错误），一定程度上避免了潜在的安全风险。

Linux VPS四合一TCP加速脚本

Wed, 17 Apr 2019 20:56:02 +0800

只要你和你的VPS不在同一个地方，那么安装一个加加速还是很有必要的。

不支持OpenVZ。

还是先介绍介绍它们吧。

BBR（TCP拥塞控制算法）是来自于Google的开源黑科技，从Linux 4.9开始，Linux内核已经用上了该算法。原理是通过优化和控制TCP的拥塞，充分利用带宽，从而起到加速效果，网速甚至可以提升好几个数量级。

BBR plus，来历是CSDN的dog250大神提到了bbr初版的两个问题：bbr在高丢包率下易失速以及bbr收敛慢的问题，提到了他个人与bbr作者对这两个问题的一些修正，并在文末给出了修正后的完整代码。然后有大佬将它编译了出来，做了一键脚本，称为bbr修正版，或者bbrplus。它基于原版bbr，修正了bbr存在的上述问题，尝试使其更好，减少排队和丢包。相关资料：https://blog.csdn.net/dog250/article/details/80629551

我在这里也只推荐上面两种，因为从原理上看，BBR设计得更为科学，而且正在走向一个完美的拥塞算法的路上。可以两种都试试，看看哪种对于你的线路更适用，再决定用哪个。

锐速是国产闭源的，公司倒闭了，网上有破解版，基本原理是将丢包进行评估，将预判到可能会产生丢包的数据包再发一次。这样会加速VPS流量消耗，也就是我们所说的锐速多倍发包。其实是一种损人利己的算法，虽然效果是可以，但是会加剧骨干网的负担。

至于BBR魔改版，我还是选择改得有理有据的BBR plus吧。

四合一脚本项目地址：https://github.com/chiakge/Linux-NetSpeed

安装命令：

wget "https://github.com/chiakge/Linux-NetSpeed/raw/master/tcp.sh" && chmod +x tcp.sh && ./tcp.sh

1.无论原来的内核是什么，都先选[1-3]切换内核。

如果出现这个（Abort kernel removal?）的话，选No。

然后按提示重启。

2.重启后输入./tcp.sh，在[4-8]中选你需要开启的加速。

好了，到这里就开启成功了。

如何在Linux VPS下使用Best Trace 路由追踪

Wed, 17 Apr 2019 20:08:58 +0800

当我们购买了新的VPS后，希望测试一下它的回程线路是直连还是绕道，这时可以使用IPIP.NET出品的Best Trace工具来测试一下。

1.下载解压：

wget https://cdn.ipip.net/17mon/besttrace4linux.zip

unzip besttrace4linux.zip

2.给执行权限：

chmod +x besttrace

如果Linux系统是32位就besttrace32，下面同理。

3.执行命令：

./besttrace -q 1 目标IP

例子：

目标IP可以选用自己的公网IP或运营商DNS的IP。

给网站免费用上HTTPS

Sat, 13 Apr 2019 20:35:26 +0800

超文本传输安全协议（Hypertext Transfer Protocol Secure，HTTPS，常称为HTTP over TLS、HTTP over SSL或HTTP Secure）是一种通过计算机网络进行安全通信的传输协议。HTTPS经由HTTP进行通信，利用SSL/TLS来加密数据包。

HTTP是明文传输的，意味着只要介于发送端、接收端中间的任意节点都可以知道传输的内容是什么，也就很容易地进行盗取和篡改。稍微了解网络基础的同学都知道，HTTP是应用层协议，位于HTTP协议之下是传输协议TCP，HTTP与HTTPS的不同之处就在于HTTP跟TCP中间多了一层加密层TLS/SSL，原先是应用层将数据直接给到TCP进行传输，现在改成应用层将数据给到TLS/SSL，将数据加密后，再给到TCP进行传输。目前大多数浏览器已经将所有HTTP网站标记为不安全，随着HTTPS的普及，给网站加个SSL证书已经是大势所趋而且很有必要了。

本站使用了宝塔面板建站，开启SSL就很方便，它本身提供两种一键式免费申请证书：亚洲诚信证书（需登陆宝塔账号并实名认证）和Let's Encrypt。

另外还可以用其它证书，比如阿里云免费的Symantec。由于本站使用了Cloudflare CDN，所以源站就直接用的Cloudflare证书。

安装其它证书：

防止因为SSL证书导致源站IP泄露，看这里：https://zhx98.com/post/19.html

KVM与OVZ（OpenVZ）比较

Mon, 08 Apr 2019 22:50:12 +0800

第一次买VPS发现有KVM和OpenVZ两种，于是在网上查了很多资料，下面是我整理出来的知识点，比较通俗易懂吧。

KVM：基于内核的虚拟机（Kernel-based Virtual Machine），是一种用于Linux内核中的系统虚拟化模块。KVM的虚拟化需要硬件支持（如Intel VT技术或者AMD V技术）。KVM本身并不进行任何模拟，是基于硬件的完全虚拟化。

优点：完全虚拟化，可以安装Linux或者Winodws。独用内核、CPU、内存，完美支持TCP BBR拥塞控制算法。超售情况不会太严重。

缺点：价格相对偏贵一点。

OpenVZ：基于Linux内核和操作系统的操作系统级虚拟化技术。OpenVZ允许物理服务器运行多个操作系统，但主机与客户系统都必须是Linux，并且共享OpenVZ主机Linux系统的内核，也就意味着OpenVZ的Linux客户系统不能升级内核。OpenVZ声称这样做有性能上的优势，根据OpenVZ网站的说法，使用OpenVZ与使用独立的实体服务器相比，性能只会有1~3%的损失。

优点：价格低，相同价格可以买到更高的配置。共用一个内核，效率高，性能较好。

缺点：只能安装Linux，不能安装Windows。不是完全的虚拟化，每个VPS实例不能单独修改内核（因此按照常规操作无法开启TCP BBR拥塞控制算法）。超售情况较KVM严重，CPU和内存往往也没有VPS服务商说得那么好。

总结：KVM相比于OpenVZ来说，稳定性更好，受超售的影响小，所以本站介绍的VPS一般都是KVM的。其实无论是KVM还是OpenVZ，超售现象都是存在的，只是严不严重的问题，不超售就不是这个价了，需要看商家的技术、管理和良心，如果控制的好，那还不错，如果任客户乱折腾不管理，那再好的配置都是白搭。