高防服务器如何配置防护？
美国、香港服务器
高防服务器如何配置防护？
07-29 来源:
## 一、第一层：运营商高防 IP / 高防节点基础接入（最核心，扛大流量 DDoS）
### 1、业务接入方式（网站优先 CNAME 接入，游戏 / TCP 业务端口转发）
1. **网站业务（80/443）**
域名 DNS 解析修改为高防提供的 CNAME 地址，**彻底隐藏源站真实公网 IP**，禁止域名直接 A 记录指向服务器 IP（攻击者会绕过高防直接打源站）。
2. **TCP/UDP 非网站（游戏、数据库、自定义端口）**
在高防后台添加**端口转发规则**：高防对外端口 → 源站 IP: 业务端口。
### 2、高防四层 DDoS 通用策略配置（后台面板设置）
1. 基础攻击清洗全部开启：`SYN Flood、UDP Flood、ICMP洪水、DNS查询洪水、畸形数据包`自动清洗。
2. 流量阈值：清洗阈值 = **日常业务带宽峰值 × 1.8～2 倍**；过低容易误拦截正常流量，过高攻击流量透传打进服务器。
3. 连接防护：开启**源 IP 连接数限制**，单 IP 最大 TCP 连接数 100～200，拦截肉鸡海量空连接。
4. 黑洞策略：设置自动解封时长（默认 15 分钟），超大流量触发黑洞后自动恢复。
### 3、【重中之重】源站保护（防止攻击者扫 IP 直打服务器）
1. 在高防后台拿到**官方回源 IP 段列表**；
2. 服务器所有防火墙（云安全组、系统 firewalld/UFW、宝塔防火墙）**只放行高防回源 IP 访问业务端口**，全网 0.0.0.0 放行全部删掉；
3. 服务器直接绑定内网 IP 运行业务，公网 IP 尽量解绑，从根源杜绝源站暴露攻击staticintl...。
## 二、第二层：高防内置 CC 防护 + 独立 WAF 配置（抵御 CC、Web 注入、爬虫）
### 1、高防自带 CC 防护配置
- 防护模式：正常业务用「智能模式」，频繁被 CC 轰炸切换「严格模式」；
- 单 IP 请求限速：静态页面单 IP QPS 上限 15～30，动态接口 5～10；超出触发**验证码验证 / 封禁 10 分钟**；
- 慢速攻击防护：开启 Slowloris、慢速 POST 攻击拦截，阻断长连接耗资源 CC。
### 2、搭配云 WAF（推荐，补充应用层防护）
1. WAF 接入在高防之后，上传网站 HTTPS 证书，统一在 WAF 终结 SSL；
2. 必开防护规则：SQL 注入、XSS 跨站、命令执行、文件上传木马、路径遍历、扫描器探测拦截；
3. 管控敏感地址：拦截对外访问`/admin、/phpmyadmin、/backup、.sql、.zip`等敏感路径，后台管理地址配置 IP 白名单访问；
4. 恶意爬虫：拦截无头浏览器、空 UA、扫描器特征 UA。
## 三、第三层：云端安全组（第一道网络门禁，云服务器必配）
入站规则遵循**最小开放原则**
1. 业务端口（80/443 / 自定义 TCP 端口）：仅放行【高防回源 IP 段】，拒绝所有外部地址；
2. 远程 SSH（22 端口）：**只放行自己办公固定公网 IP**，全网关闭；建议修改默认 22 为高位端口；
3. 宝塔面板端口（默认 8888）：仅限办公 IP 访问，不要对公网开放；
4. 数据库 3306、Redis 6379：完全禁止公网放行，只内网调用；
5. 出站规则：默认全部放行，仅拦截恶意外联 IP 即可。
## 四、第四层：服务器系统防火墙 + 宝塔防火墙（Debian 系统实操）
### 1、Debian 系统 UFW 防火墙（命令直接复制执行）
# 安装启用ufw
apt install ufw -y
ufw default deny incoming
ufw default allow outgoing
# 放行高防回源IP（替换为你的回源网段）
ufw allow from 高防回源IP段 to any port 80,443
# 放行自己IP SSH + 宝塔
ufw allow from 你的办公IP to any port 22,8888
ufw enable
ufw status numbered
### 2、宝塔面板防火墙精细化配置（适配你宝塔环境）
1. 【端口规则】只放行 80、443、面板端口、SSH 端口，其余所有端口全部封禁；
2. 【CC 防护】宝塔防火墙开启 CC 防御，单 IP 一分钟访问阈值：普通网站 60 次；
3. 【黑名单】开启自动拉黑高频攻击 IP，封禁时长 30 分钟；
4. 【白名单】加入办公 IP、搜索引擎蜘蛛 IP、高防回源 IP，避免被误封；
5. 关闭宝塔不必要的监听服务，关闭系统无用端口（用`netstat -lntp`排查清理）。
## 五、第五层：服务器系统 & 服务加固（解决你之前磁盘损坏、宝塔报错、被入侵问题）
### 1、系统账号与登录安全
1. SSH 禁止 root 密码登录，改用密钥登录；修改 SSH 默认 22 端口；
2. 安装`fail2ban`自动暴力破解拦截（拦截 SSH、宝塔登录爆破）
apt install fail2ban -y
systemctl enable --now fail2ban
2. 重要数据网站、数据库定时异地备份，高防被打 + 磁盘损坏不会丢数据；
3. 不要强制断电、暴力重启服务器，极易导致 LVM 文件系统损坏进 initramfs 救援模式。
### 3、Web、数据库服务加固
1. Nginx/Apache 隐藏版本号，关闭目录浏览；限制请求体大小，抵御大流量 POST 攻击；
2. MySQL 绑定 127.0.0.1 内网访问，删除匿名账号，设置强密码，限制最大连接数；
3. 宝塔定期执行修复：`bt repair && bt restart`，定时更新宝塔、系统软件包修复漏洞。
### 4、查杀恶意程序
定期使用宝塔木马查杀、ClamAV 扫描网站目录后门、 Webshell。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
