博客 (128)

1. 命令提示符

   打开记事本，粘贴下方命令，保存为 .bat 文件

   @echo off
   iisreset
   pause

2. 命令提示符（管理员）

   打开记事本，粘贴下方命令，保存为 .bat 文件

   @echo off
   if not "%1"=="admin" (powershell start -verb runas '%0' admin & exit)
   iisreset
   pause

3. PowerShell

   创建一个快捷方式，目标为

   C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Command "Start-Process PowerShell -ArgumentList 'iisreset' -Verb RunAs"

本文介绍 Token 认证和 HMAC 认证两种方式。

一、Token 接口认证方式

原理：

客户端使用账号密码等信息登录，服务器验证通过后生成一个 Token 发送给客户端。客户端在后续的请求中携带这个 Token，服务器通过验证 Token 来确认用户的身份和权限。

应用场景：移动应用、Web 应用（特别是 SPA）

优点：

无状态性，即服务器不需要存储用户的会话信息。

易于实现跨域认证。

缺点：

Token 可能被窃取，应使用 HTTPS、不暴露在 URL 中、使用 HttpOnly 的 Cookie、对 Session ID 进行验证、设置合理过期时间、对 Token 进行加密等措施加强防范。

二、HMAC 接口认证方式

原理：

客户端将消息M与密钥K连接起来，通过哈希函数计算得到 HMAC 值，发送给服务器。服务器收到请求后，使用相同的密钥和请求参数重新计算 HMAC 值，如果与客户端发送的签名一致，即是合法请求。

优点：

安全性较高，攻击者很难伪造 HMAC 值，截获并篡改数据也无法通过服务端验证。

计算效率较高，哈希函数（如 MD5、SHA-1、SHA-256 等）计算效率比较高。

缺点：

密钥的更新和管理比较麻烦。

扩展：

在消息体中添加时间戳以防止重放攻击。

加密隐私数据：可以使用对称加密算法（如 AES）或非对称加密算法（如 RSA、ECC 等）对部分隐私数据进行加密。非对称算法虽然更安全，但速度较慢，如需加密大量数据，可以考虑使用对称加密算法进行加密，然后使用非对称加密算法对对称密钥进行加密。

1. 国家智慧教育公共服务平台 https://gjzwfw.www.gov.cn/

2. 中国裁判文书网 https://wenshu.court.gov.cn/

3. 国家企业信用信息公示系统 https://gs.gsxt.gov.cn/

4. 国家社会保险服务平台 https://si.12333.gov.cn/

5. 天地图 https://www.tianditu.gov.cn/

6. 国家统计局 https://www.stats.gov.cn/

7. 中国商标网 https://sbj.cnipa.gov.cn/sbj/

8. 国家法律法规数据库 https://flk.npc.gov.cn/

9. 中国专利公布公告网 http://epub.cnipa.gov.cn/

10. 国家标准全文公开系统 https://openstd.samr.gov.cn/bzgk/gb/

11. 国家药品监督管理局 https://www.nmpa.gov.cn/datasearch/

12. 食品安全抽检公布结果查询系统 https://spcjsac.gsxt.gov.cn/

13. 发票查验平台 http://inv-veri.chinatax.gov.cn/

14. 中国关键词 http://keywords.china.org.cn/

15. 工信部申诉受理中心 https://ythzxfw.miit.gov.cn/

16. 合同示范文本库 https://htsfwb.samr.gov.cn/

17. 中国法律服务网 https://www.12348.gov.cn/

18. 中国庭审公开网 https://tingshen.court.gov.cn/

非 gov 网站

1. 终身教育平台 https://le.ouchn.cn/

2. 国家数字图书馆 https://www.nlc.cn/

3. 国家哲学社会科学文献 https://www.ncpssd.cn/

4. 国家高等教育智慧教育平台 https://www.chinaooc.com.cn/

5. 职业教育专业教学资源库 https://zyk.icve.com.cn/

http {
    ...

    lua_shared_dict cpu_cache 1m;  # 定义共享字典用于缓存 CPU 使用率
    access_by_lua_block {
        local cpu_cache = ngx.shared.cpu_cache
        local cache_time = cpu_cache:get("cache_time") or 0
        local current_time = ngx.now()

        if current_time - cache_time > 5 then  -- 每 5 秒更新一次
            local cpu_info = io.popen("top -bn1 | grep 'Cpu(s)'"):read("*all")
            local cpu_usage = cpu_info:match("(%d+%.%d+) id")  -- 获取空闲 CPU 百分比
            local cpu_used = 100 - tonumber(cpu_usage)  -- 计算使用率

            cpu_cache:set("cpu_usage", cpu_used)
            cpu_cache:set("cache_time", current_time)
        end

        local cpu_usage = cpu_cache:get("cpu_usage")
        ngx.log(ngx.INFO, "CPU 使用率: " .. cpu_usage .. "%")
        -- 将 cpu_usage 发送到远程鉴权接口，可根据服务器压力来决定是否拒绝一些不重要的请求
    }
}

代码解析：

共享字典：使用 lua_shared_dict 定义一个共享字典 cpu_cache，用于存储 CPU 使用率和缓存时间。

获取 CPU 使用率：在 access_by_lua_block 中，检查缓存时间，如果超过 5 秒，则重新获取 CPU 使用率，并更新共享字典。

记录日志：使用 ngx.log 将 CPU 使用率记录到 Nginx 日志中。

注意事项：

确保 Nginx 配置中已经加载了 Lua 模块（如 ngx_http_lua_module）。

根据实际需求调整缓存时间，以平衡性能和数据的实时性。

尝试过使用 ifconfig 或 ip 命令获取网卡流量，在宝塔面板中失败了，怀疑是权限问题，有空再研究。临时方案是鉴权接口定时调用宝塔面板 API 或阿里云控制台 API 来获取 ECS 的 CPU 和带宽使用率。

如何配置 nginx 远程鉴权

1. 安装依赖

   sudo yum install -y epel-release
   sudo yum install -y lua lua-devel gcc make

2. 下载安装 LuaRocks

   访问 LuaRocks 的官方网站 获取最新版本的 LuaRocks。你可以使用 wget 命令下载：

   wget https://luarocks.org/releases/luarocks-x.x.x.tar.gz
   tar zxpf luarocks-x.x.x.tar.gz
   cd luarocks-x.x.x
   ./configure && make && sudo make install

3. 设置环境变量（可选）

   通常，LuaRocks 会自动处理这一步，但如果需要手动设置，可以编辑 ~/.bash_profile 或 ~/.bashrc 文件，添加以下行：

   export PATH=$PATH:/usr/local/bin

   然后运行以下命令使更改生效：

   source ~/.bash_profile

4. 验证安装

   luarocks --version

要在 Alibaba Cloud Linux 3 上设置开机启动 ossftp，你可以通过创建一个系统服务来实现。以下是具体步骤：

安装 ossftp：

按照阿里云官方文档安装 ossftp。

创建服务文件：

首先，你需要创建一个服务文件。使用以下命令创建一个新的服务文件：

sudo nano /etc/systemd/system/ossftp.service

编辑服务文件：

在打开的编辑器中，添加以下内容：

[Unit]
Description=OSS FTP Service
After=network.target

[Service]
ExecStart=/bin/bash /root/ossftp-1.2.0-linux-mac/start.sh
Restart=always
User=root

[Install]
WantedBy=multi-user.target

这里的 ExecStart 指向你的 start.sh 脚本的路径。

保存并退出。

重新加载系统服务：

运行以下命令以重新加载系统服务，使新创建的服务生效：

sudo systemctl daemon-reload

启用服务开机启动：

使用以下命令启用服务，使其在系统启动时自动运行：

sudo systemctl enable ossftp.service

启动服务：

你可以立即启动服务以测试其是否正常工作：

sudo systemctl start ossftp.service

检查服务状态：

使用以下命令检查服务的状态，确保它正在运行：

sudo systemctl status ossftp.service

如果一切设置正确，ossftp 应该会在每次系统启动时自动运行。

如果在你的系统上没有安装 nano 编辑器，你可以使用其他文本编辑器，比如 vi 或 vim。

如果你需要安装 nano，可以使用以下命令：

sudo yum install nano

宝塔面板中-安全-系统防火墙 功能非常丰富，特别是“地区规则”用来屏蔽来自国外的请求非常有用，那些通过 URL 来找网站漏洞的恶意请求大多来自国外。但是添加规则经常无反应

于是找到这个功能对应的配置文件：/etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <port protocol="tcp" port="80"/>
  <port protocol="tcp" port="443"/>
  <masquerade/>
  <rule family="ipv4">
    <source address="43.131.232.135"/>
    <drop/>
  </rule>
  <rule family="ipv4">
    <source address="103.150.11.45"/>
    <drop/>
  </rule>
  <rule>
    <source ipset="US"/>
    <drop/>
  </rule>
  <rule>
    <source ipset="GB"/>
    <drop/>
  </rule>
</zone>

修改完成后重启防火墙。

但是看到的效果好像并不一致，甚至有时候服务器重启后防火墙是关闭的，但是有时候又是生效的。

关键的问题是CPU占用异常高。

反正宝塔的系统防火墙功能挺好挺强大，但是用起来不稳定不顺手，有些暴殄天物了。

相关阅读：

系统防火墙添加规则转圈卡死

2024年8月30日补充 ：宝塔面板中配置禁用IP等规则时，提示保存成功或未提醒是否成功，但效果是未成功。其实在宝塔自己的配置里已经记录了（包含备注），但在系统防火墙配置文件中未更改成功，手动修改系统防火墙配置文件就能完全修改成功。（系统防火墙配置文件中没有备注信息，根据IP地址等规则与宝塔自己的配置文件里的记录关联后，在宝塔面板安全模块中展示出来就有备注了。）

2024年8月30日下午补充：在宝塔的软件商店找到这个应用，看到红色的说明，啥都明白了：

于是果断关闭了系统防火墙，开始研究其它替代方案。

1. 购买 ECS
   

2. 解析域名（非网站域名）、修改实例名称、主机名

3. 设置阿里云（重要）

4. 远程连接进入 ECS（若解析未生效可以先用 IP）（若新服默认使用 22 端口，可在阿里云控制台登录系统，或先在安全组临时放行 22 端口）

5. 修复系统漏洞

6. 将磁盘挂载到目录（fdisk、df 命令参考：https://xoyozo.net/Blog/Details/SSH）

7. 安装宝塔面板（本文以宝塔面板方案为例，选择任何你喜欢的环境部署方案都行）。可以在阿里云控制台ECS实例页安装扩展程序

8. 临时放行宝塔面板端口，进入宝塔面板（http方式），或用命令更改宝塔面板端口

9. 配置面板 SSH、添加新的安全端口、面板设置

10. 更改 SSH 默认端口（参：https://xoyozo.net/Blog/Details/change-default-port）
    

11. 安装 nginx、PHP 等

12. 配置 PHP 扩展（Redis、sqlsrv（注意选择兼容的版本）、memcached 及端口）

13. 创建网站，配置网站（路径、伪静态等）

14. 迁移网站文件（参：https://xoyozo.net/Blog/Details/SSH）

15. 仔细对比新旧网站的配置文件（特别是 .php 的访问权限，参：https://xoyozo.net/Blog/Details/nginx-location-if）

16. 设置写入目录（使用 rsync 同步的文件会同步用户和权限）

17. 解析域名（先改 hosts 测试网站功能）

18. 更改内网其它 ECS 上的 hosts

19. 关闭原 ECS（能马上发现问题，不然等运行一段时间才发现问题就麻烦点）
    

20. 设置 FTP
    

21. 迁移“计划任务”

22. 所有网站和软件的配置文件都要使用 WinMerge 进行对比
    

23. 移除“宝塔面板-安全”和“阿里云-ECS-安全组”中不用的端口

24. 再次检查阿里云设置

25. 私网中若有 ECS 的 hosts 中域名直接绑定到私网 IP 的，做相应更改

26. 其它：ERP添加到期提醒、WAF增加ECS、备份工具增加ECS

更多文章：

从零搭建一台阿里云 ECS（Windows Server）并迁移网站

* 本文信息仅供参考，以设备最新产品说明为准！

-> 查看目前可以做中枢和从网关的产品，中枢网关 / 从网关