服务器访问控制生产环境部署怎么配-安全-PHP中文网

核心是“最小权限+纵深防御”，需网络层（限制监听地址、防火墙精确放行）、应用层（反向代理加认证）、身份层（禁用默认账号、专用用户运行、数据库最小权限）三道防线协同。

服务器访问控制生产环境部署怎么配

生产环境的服务器访问控制，核心是“最小权限+纵深防御”，不是只开个防火墙就完事。重点在于网络层、应用层、身份层三道防线协同工作。

限制监听地址，从源头掐断暴露面
很多服务默认绑定 0.0.0.0，等于把门大敞开。必须改成本地回环或指定内网地址。

iNTERCEPT 类服务：启动时加 -H 127.0.0.1，只允许本机访问
RustDesk API：修改 conf/config.yaml 中 gin.api-addr: "127.0.0.1:21114"
Go Web 服务：代码里 http.ListenAndServe("127.0.0.1:8080", nil)
GME 向量服务：FastAPI 启动命令加上 --host 127.0.0.1

用防火墙精确放行，拒绝一切默认
别依赖服务自身做判断，让系统级防火墙先过滤一遍。

Ubuntu/Debian（ufw）：

sudo ufw default deny incoming  
sudo ufw allow OpenSSH  
sudo ufw allow 80/tcp  
sudo ufw allow 443/tcp  
sudo ufw allow from 192.168.10.0/24 to any port 5050  # 仅允许可信内网访问管理端口
sudo ufw enable

CentOS/RHEL（firewalld）：

sudo firewall-cmd --permanent --add-service=https  
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.5.0/24" port port="21114" protocol="tcp" accept'  
sudo firewall-cmd --reload

反向代理加认证，给敏感入口上锁
对必须对外暴露的管理界面（如 iNTERCEPT、1Panel），不要直接暴露端口，走 Nginx/Caddy 做一层带认证的代理。

Nginx 基础认证配置示例：

location /admin/ {
    auth_basic "Restricted Access";
    auth_basic_user_file /etc/nginx/.htpasswd;
    proxy_pass http://127.0.0.1:5050/;
    proxy_set_header Host $host;
}

生成密码文件：sudo htpasswd -c /etc/nginx/.htpasswd admin

更进一步：结合 OAuth 或 LDAP（如通过 Authelia），适合多用户企业场景。

权限与账户分离，避免共享凭证

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

禁用默认账号：iNTERCEPT 的 admin:admin、RustDesk 的默认密钥必须第一时间重置

使用专用系统用户运行服务：

sudo useradd --system --no-create-home --shell /usr/sbin/nologin gme-svc  
sudo chown -R gme-svc:gme-svc /opt/gme_vector_service  
sudo -u gme-svc ./app.py

数据库连接用最小权限账号：GME 或 GLPI 连 MySQL 时，不给 DROP、CREATE 权限，只授权对应数据库的 SELECT, INSERT, UPDATE

不复杂但容易忽略