如何配置厦门服务器防火墙，阻止恶意扫描和暴力破解?

在当前的网络安全环境下，厦门作为东南沿海的互联网和电商重镇，大量企业的业务系统都运行在本地服务器或托管于厦门数据中心的机器上。然而，服务器暴露在公网之上，就意味着随时可能成为黑客扫描和暴力破解的目标。很多管理员在查看服务器日志时，经常会发现大量来自异常IP的试探性访问，例如频繁尝试SSH登录、不断探测Web目录结构等。这些行为不仅消耗服务器资源，一旦被攻破，将导致严重的数据泄露。

面对这种持续性的恶意扫描和暴力破解，单纯靠人工封禁IP是行不通的，不仅效率低下，而且容易误封正常访客。只有通过系统化的防火墙配置和安全策略联动，才能建立起一套自动化、智能化的防御体系。下面我们从厦门本地服务器的实际运维场景出发，详细拆解配置防火墙的具体方案。

一、先搞清楚：恶意扫描和暴力破解的区别

在配置防火墙之前，了解攻击类型的差异，有助于采取更有针对性的防御措施。

恶意扫描是攻击者在正式入侵前的“踩点”行为。他们使用扫描工具(如Nmap)探测服务器开放了哪些端口、运行了什么服务、操作系统版本是什么。扫描的特征通常是短时间内发起大量的连接请求，连接到不同的端口或路径。例如，一台服务器在几秒钟内收到来自同一IP对22、80、443、3306、6379等端口的依次连接，基本可以判定为端口扫描。

暴力破解则是攻击者利用自动化工具，反复尝试不同的用户名和密码组合，试图通过穷举的方式获取合法账号的登录权限。针对SSH的暴力破解最为常见，攻击者会使用常见的用户名(如root、admin、test)配合常用密码字典，在短时间内发起成千上万次登录尝试。针对网站后台的暴力破解则表现为对登录接口的大量POST请求。

两者区别在于：扫描是“看门开着没”，暴力破解是“试着闯进去”。防御策略上，扫描需要做端口隐藏和访问频率限制，暴力破解则需要做账户锁定和验证码增强。

二、基础防火墙配置：用好iptables/firewalld

无论使用CentOS的firewalld还是Ubuntu的iptables，底层都是netfilter框架，配置逻辑是一致的。对于厦门服务器来说，首要任务是建立一个“默认拒绝、按需放行”的安全策略。

第一步：关闭不必要的端口。服务器上运行的每一个开放端口，都是潜在的攻击面。执行netstat -tulpn查看当前监听的端口，除了Web服务(80/443)、SSH管理端口、数据库端口(如果需要对外访问)之外，其他端口应当全部关闭。以iptables为例，设置默认规则为DROP：

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT ACCEPT

然后只放行明确需要的端口，例如放行SSH端口和Web端口：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p tcp --dport 443 -j ACCEPT

第二步：修改SSH默认端口。将SSH端口从22改为一个不常用的高位端口(如10022)，修改/etc/ssh/sshd_config中的Port参数。改完后，防火墙要同步放行新端口。这样可以大幅降低被自动扫描工具探测到的概率。绝大多数针对22端口的暴力破解流量，在端口变更后会直接消失。

第三步：限制IP访问范围。如果你的服务器主要供公司内部人员管理，可以在防火墙中限制只允许公司出口IP访问管理端口：

iptables -A INPUT -p tcp --dport 10022 -s 公司出口IP -j ACCEPT

对于数据库端口(如3306)，如果应用和数据库部署在同一台服务器上，不需要对外暴露;如果应用服务器和数据库分离，限制只允许内网IP或应用服务器的IP连接。

三、启用fail2ban：动态封禁恶意IP

单纯靠静态防火墙规则远远不够，因为攻击者的IP地址是动态变化的，每天都有大量新的肉鸡IP发起攻击。fail2ban是目前业界最成熟的动态封禁工具，它的工作原理是：监控服务器日志文件，当某个IP在一定时间内出现超过设定次数的失败尝试时，自动在防火墙中封禁该IP一段时间。

以防御SSH暴力破解为例，在CentOS系统中安装fail2ban后，默认配置已经包含了针对sshd的监控。配置文件/etc/fail2ban/jail.local中，可以设置以下核心参数：

maxretry：最大失败尝试次数，建议设置为5次

findtime：统计时间窗口，建议设置为600秒(10分钟)

bantime：封禁时长，建议首次封禁3600秒(1小时)，累犯可以延长

配置好之后，当某个IP在10分钟内连续5次SSH登录失败，就会被自动加入防火墙黑名单。这个方法对于阻断自动化暴力破解工具效果显著。

在实际案例中，厦门某科技公司的服务器在启用fail2ban之前，每天SSH登录日志中记录的失败尝试超过2万条。启用fail2ban后，这些暴力破解流量在第一次尝试失败达到阈值后就被封禁，服务器日志中的无效登录记录减少了95%以上，系统资源占用也明显下降。

四、Web环境下的特殊防护：针对网站后台的暴力破解

站群或Web服务器面临的不仅仅是SSH暴力破解，还有针对网站管理员后台的登录爆破。这类攻击的特征是大量POST请求集中到/wp-admin或/admin/login.php等路径。

对于这种情况，单纯依靠系统防火墙无法区分正常登录和暴力破解，需要在应用层加防护措施。方案一是在Nginx层面配置访问频率限制，使用limit_req模块限制同一IP的请求频率：

limit_req_zone $binary_remote_addr zone=login:10m rate=2r/s;

limit_req zone=login burst=4 nodelay;

这个配置表示同一IP每秒最多发起2次登录请求，超过频率限制的请求会被直接拒绝。

方案二是部署Web应用防火墙，如ModSecurity配合OWASP核心规则集，可以自动识别并拦截SQL注入、XSS攻击以及异常的POST请求模式。对于厦门本地的中小型企业，如果缺乏专业的安全团队运维，也可以考虑使用云WAF服务，通过DNS解析将流量先经过云端清洗再回源到服务器，实现零部署的Web安全防护。

五、端口敲门：隐藏关键服务的“秘密钥匙”

对于安全性要求较高的场景，例如金融、电商类系统的管理端口，可以进一步采用端口敲门(Port Knocking)技术。简单来说，端口敲门需要客户端先按特定的顺序访问一组关闭的端口(比如依次访问1000、2000、3000端口)，防火墙检测到正确顺序后，才临时打开SSH管理端口供该IP连接。连接完成后，端口会再次自动关闭。

这种方式下，黑客即使扫描到服务器开放了哪些端口，也无法知道“敲门”的顺序，相当于给关键服务增加了一把动态密码锁。在厦门某支付服务商的运维架构中，所有生产服务器的管理端口都采用了端口敲门机制，运维人员需要在连接前先执行一个敲门的脚本，然后才能建立SSH会话。虽然增加了运维操作的步骤，但对于核心服务器的安全保障来说，这个代价是值得的。

六、日常监控与日志分析：让防御“活”起来

防火墙和fail2ban配置好之后，并不意味着可以一劳永逸。攻击手法在不断演进，防御策略也需要持续更新。建议定期查看防火墙的封禁记录和fail2ban的日志，分析攻击来源的分布特征。如果发现某个网段的IP频繁发起攻击，可以在防火墙层面直接封禁整个C段或B段：

iptables -I INPUT -s 192.168.0.0/16 -j DROP

同时，建议配置日志远程存储，将服务器日志实时同步到独立的日志服务器或对象存储中。即使服务器被攻陷导致本地日志被清除，远程日志依然保留，便于事后追溯。厦门某互联网公司就曾因为配置了远程日志，在一次入侵事件中成功还原了攻击者的完整攻击链条，为后续的漏洞修补和法律追责提供了关键证据。

总结

配置厦门服务器的防火墙来阻止恶意扫描和暴力破解，本质上是一个“纵深防御”的过程。最外层是修改默认端口和关闭不必要的服务，减少暴露面;中间层是通过fail2ban实现动态IP封禁，自动响应攻击行为;最里层是应用层的频率限制和WAF防护，精准拦截针对业务逻辑的攻击。再加上端口敲门这样的进阶手段和持续的日志监控，整个防御体系才能从“被动挨打”转变为“主动防御”。

安全没有终点，只有不断迭代。每一次攻击尝试都是检验防御体系的机会，每一次配置优化都是对服务器稳定性的一份保障。

纵横云服务器租赁，欢迎随时联系，客服联系方式：QQ3494196421，手机微信19906048601。