最有效做法是用加密技术堵住传输链路漏洞，关键在于选对场景、配好参数、管住密钥：优先启用tls 1.2/1.3保护http等应用层通信，禁用弱协议；ssh替代telnet/ftp等明文通道，强制密钥登录；敏感服务间用ipsec或wireguard加密；严格管控密钥与证书生命周期。
直接用加密技术堵住传输链路上的漏洞，是最有效也最务实的做法。关键不是堆砌工具，而是选对场景、配好参数、管住密钥。
优先启用TLS 1.2/1.3保护应用层通信
绝大多数业务流量走HTTP、SMTP、IMAP等协议，TLS是第一道防线。不要停留在“开了HTTPS”就万事大吉——必须禁用SSLv3、TLS 1.0/1.1，只允许TLS 1.2及以上版本协商；在Nginx或Apache配置中明确指定强密码套件，例如ECDHE-ECDSA-AES256-GCM-SHA384或ECDHE-RSA-AES256-GCM-SHA384；证书必须由可信CA签发，自签名仅限测试环境；对客户端证书做双向认证（mTLS）可进一步锁定合法接入方。
用SSH替代所有明文远程管理通道
Telnet、FTP、rlogin这类协议等于把账号密码裸奔发送。统一改用SSH：关闭sshd的PasswordAuthentication，强制使用密钥登录；限制root远程登录，通过普通用户+sudo控制权限；文件传输全部走scp或sftp，不启FTP服务；对需要转发的非加密服务（比如数据库管理界面），用ssh -L建立本地端口隧道，让流量经SSH加密后再透传。
敏感服务间通信启用IPSec或WireGuard
当服务器集群内部存在API调用、数据库主从同步、日志收集等跨机通信时，不能只靠内网信任。IPSec可在网络层透明加密所有IP包，适合传统企业环境；WireGuard更轻量、配置简洁，适合云原生架构。两者都支持预共享密钥或公钥认证，且能绑定具体子网或主机IP，避免泛滥授权。注意关闭不必要的IKE重协商，防止DoS攻击。
密钥与证书生命周期必须可控
再强的算法也架不住私钥泄露或证书过期。私钥文件权限设为600，禁止世界可读；证书到期前30天自动告警并触发轮换流程；使用Let’s Encrypt的certbot可全自动续签；对长期运行的服务（如数据库连接池），避免硬编码密钥，改用密钥管理服务（如HashiCorp Vault）动态分发；定期审计密钥使用日志，发现异常访问立即吊销。
