Безопасность серверов Linux
Настройка межсетевого экрана (CSF и iptables)
Правильно настроенный межсетевой экран — это периметр сервера виртуального хостинга на Linux: он решает, какие адреса достучиваются до SSH, cPanel, почты и веб-портов, ограничивает частоту запросов и отсекает целые враждебные сети. На серверах с cPanel CSF поверх iptables даёт фильтрацию с отслеживанием состояния и определение неудачных попыток входа в одном управляемом пакете.
Главное
- По умолчанию запретить всё входящее и открыть только 22 или 2222, 80, 443, 2083 или 2087, 25, 465, 587, 53 и 21 или 990 — по мере надобности.
- Включить отслеживание соединений и защиту от SYN-флуда с разумными лимитами частоты.
- Включить правила PORTFLOOD и CONNLIMIT для HTTP, HTTPS и SMTP.
- Закрыть через списки deny на ipset враждебные автономные системы и страны с нулевым легитимным трафиком.
- Внести в белый список адреса офиса, систем мониторинга и резервных серверов, чтобы автоматика никогда не попадала под бан.
- Фильтровать исходящий трафик, чтобы быстро ловить спам-ботов и обращения к серверам управления.
- Проверять каждое изменение правил из второй сессии, а для правок по сети заранее планировать откат.
- Документировать набор правил так, чтобы в момент инцидента с ним мог разобраться любой администратор.
Частые вопросы
CSF или обычный iptables?
CSF управляет iptables через более удобные настройки и добавляет определение перебора (LFD). На серверах с cPanel это практичный выбор.
Могут ли правила межсетевого экрана сломать доставку почты?
Да, если закрыты порты SMTP или резервный MX. После каждого изменения мы проверяем прохождение почты.
Что делать с меняющимися адресами офиса?
Белый список на основе динамического DNS либо выход через VPN со статическим адресом для административного доступа.
Нужен ли межсетевой экран, если уже есть защита провайдера?
Да, это эшелонированная защита. Правила уровня провайдера и уровня операционной системы закрывают разные сценарии отказов.
Как мы берём на себя безопасность серверов linux
Вам не обязательно становиться экспертом в безопасность серверов linux: Усиление защиты, мониторинг и оборона серверов CloudLinux, Rocky Linux и cPanel от вредоносного ПО, перебора паролей и вторжений — круглосуточно. Именно для этого и существует наша услуга Безопасность серверов Linux и Администрирование серверов — настройка, усиление защиты, мониторинг и живой человек на связи днём и ночью.