真正防住服务器扫描与探测的关键是让攻击者找不到入口、测不出状态、扫不出服务，核心动作包括禁ping隐身、收缩端口暴露面、识别并拦截扫描行为特征。
要真正防住服务器扫描与探测，关键不是“堵所有流量”，而是让攻击者找不到入口、测不出状态、扫不出服务。核心动作就三类：禁Ping隐身、收缩端口暴露面、识别并拦截扫描行为特征。
一、禁Ping让服务器“消失”在扫描雷达上
攻击者常用ping批量探测IP是否存活，再针对性扫描。禁Ping不是封端口，而是屏蔽ICMP回显请求（类型8）。Linux用iptables命令：
- iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
- 若需保留运维人员本地ping权限，可加-s限制来源IP，例如：-s 192.168.1.0/24
- CentOS 7/8使用firewalld时，执行：firewall-cmd --add-icmp-block=echo-request --permanent，再重载规则
二、只开必要端口，关闭一切非必需服务
扫描器最常探测21、22、23、80、443、3306、3389等端口。没用的服务关掉，比单纯封端口更彻底：
- 检查运行中的服务：ss -tuln 或 netstat -tuln
- 停用不用的服务，例如：systemctl stop telnet.socket && systemctl disable telnet.socket
- 防火墙只放行真实需要的端口，如仅开放SSH（22）和HTTPS（443）：iptables -A INPUT -p tcp --dport 22 -j ACCEPT，iptables -A INPUT -p tcp --dport 443 -j ACCEPT，最后加一条默认拒绝：iptables -P INPUT DROP
三、识别高频扫描行为，自动封禁可疑IP段
单靠静态规则无法应对动态扫描。建议部署轻量级实时拦截机制：
- 用fail2ban监控web日志，对1分钟内请求超过50次的IP自动封禁1小时（配置filter.d/nginx-bad-request.conf）
- 用iptables + recent模块做简单频率控制，例如：iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --name scan --rcheck --seconds 60 --hitcount 30 -j DROP
- 定期拉取公开威胁情报IP段（如Emerging Threats、FireHOL），用脚本自动导入iptables或firewalld黑名单
四、隐藏服务指纹，降低被精准识别概率
即使开了端口，也不必暴露软件版本信息：
- Nginx中设置：server_tokens off;，Apache中设：ServerSignature Off & ServerTokens Prod
- 数据库服务（如MySQL）禁用远程root登录，改用专用低权限账号+IP白名单
- 后台路径不使用默认名（如/wp-admin/、/admin.php），配合404页面统一返回，避免泄露技术栈
