服务器访问控制是围绕“谁、从哪来、能做什么、数据怎么走”构建的多层防御体系，核心在于最小权限原则、网络层严格管控、强身份认证及持续监控审计。
服务器访问控制不是加一道“密码门”就完事，而是围绕“谁、从哪来、能做什么、数据怎么走”这四个核心问题，构建层层设防的体系。关键不在堆功能，而在规则清晰、执行可靠、可审计、易维护。
明确最小权限原则（POLP）
每个用户、服务、IP只应拥有完成任务所必需的最低权限。比如数据库备份脚本只需读取权限，不应有删除或写入能力；API网关后端服务只需访问特定数据库表，而非整个库。
实际操作中： - Linux系统用sudoers精细授权命令，禁用NOPASSWD: ALL - 数据库按角色分配SELECT/INSERT/UPDATE权限，不用GRANT ALL - NFS共享启用root_squash，防止客户端root提权 - Airflow中限制Web UI仅允许运维网段访问，Worker只响应Scheduler IP
网络层严格管控进出流量
防火墙是第一道防线，规则必须基于业务逻辑设计，而非“先放行再补漏”。iptables或firewalld的INPUT链决定谁能连进来，OUTPUT链控制它能连出去哪里。
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
典型做法： - 只开放必要端口：SSH改非标端口（如2222），Web服务只开443，禁用80或重定向 - 用源IP白名单替代密码防护：如iptables -A INPUT -p tcp --dport 8080 -s 10.10.5.0/24 -j ACCEPT，其余全拒 - 对数据库（5432/3306）、Redis（6379）等敏感服务，禁止公网暴露，仅限内网组件通信 - 出站也需约束：任务若只需调用AWS S3，则只放行s3.amazonaws.com:443，不放行任意HTTPS
身份认证不能只靠密码
单一密码验证极易被暴力破解或钓鱼窃取。生产环境必须叠加至少一层强认证机制。
推荐组合： - SSH强制公钥认证，关闭PasswordAuthentication - Web管理界面（如Airflow、GoHTTPServer）启用HTTP基本认证 + HTTPS，或集成OAuth2-Proxy实现单点登录 - VPS登录启用双因素认证（2FA），例如Google Authenticator或硬件密钥 - 所有对外API必须校验JWT/OAuth2令牌，拒绝无签名或过期token请求
持续监控与自动响应
静态规则会失效，攻击手法在变，人会犯错。访问控制必须带反馈回路。
落地要点： - 部署Fail2Ban实时封禁SSH/HTTP暴力尝试IP - 定期导出并审查iptables日志或auth.log，识别异常登录时段、非常用IP、高频失败请求 - 对NFS、GoHTTPServer等服务开启访问日志，记录用户、路径、状态码、耗时 - 将关键操作（如sudo命令、数据库DDL变更）接入集中日志系统，保留6个月以上
