服务器运维笔记：防火墙与网络安全

iptables --version
# iptables v1.8.7 (nf_tables)   ← 兼容层（背后是 nftables）
# iptables v1.8.7 (legacy)      ← 真正的 iptables

数据包流向：

客户端 → [PREROUTING] → 路由判断 → [INPUT] → 本地进程
                                     ↓
                               本地进程响应 → [OUTPUT] → [POSTROUTING] → 客户端
                                     ↓
                              转发流量 → [FORWARD] → [POSTROUTING] → 外部

iptables [-t 表名] 命令选项 [链名] [匹配条件] [-j 目标动作]

# 查看规则
iptables -L -n -v                    # 查看 filter 表所有规则
iptables -t nat -L -n -v             # 查看 nat 表规则
iptables -L INPUT -n -v --line-numbers  # 带行号查看 INPUT 链

# 添加规则
iptables -A INPUT ...                # 追加到链末尾
iptables -I INPUT 1 ...              # 插入到第 1 条

# 删除规则
iptables -D INPUT 3                  # 删除第 3 条规则
iptables -F INPUT                    # 清空 INPUT 链

# 设置默认策略
iptables -P INPUT DROP               # 默认拒绝入站
iptables -P FORWARD DROP             # 默认拒绝转发
iptables -P OUTPUT ACCEPT            # 默认允许出站

# 按协议
-p tcp
-p udp
-p icmp

# 按端口
--dport 22               # 目标端口
--sport 1024:65535       # 源端口范围
--dport 80,443           # 多个端口（需要用 multiport 模块）
-m multiport --dports 80,443,8080

# 按 IP 地址
-s 192.168.1.0/24        # 源地址
-d 10.0.0.1              # 目标地址
-s 192.168.1.100/32      # 单个 IP

# 按网络接口
-i eth0                  # 入站接口
-o eth0                  # 出站接口

# 按连接状态（状态防火墙核心）
-m state --state NEW,ESTABLISHED,RELATED
-m conntrack --ctstate NEW,ESTABLISHED,RELATED

# 按速率限制
-m limit --limit 5/min   # 每分钟最多 5 个包
-m recent --set           # 记录最近连接

# ============ 基础规则 ============

# 允许回环接口
iptables -A INPUT -i lo -j ACCEPT

# 允许已建立的连接（关键！否则响应包无法回来）
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 允许 SSH（仅限管理网段）
iptables -A INPUT -p tcp -s 10.0.0.0/8 --dport 22 -j ACCEPT

# 允许 HTTP/HTTPS
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT

# 允许 ICMP（ping）
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# 丢弃无效数据包
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

# 防 SYN Flood
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT

# 限制 SSH 暴力破解（30 秒内超过 3 次连接则拒绝）
iptables -A INPUT -p tcp --dport 22 -m recent --set --name SSH
iptables -A INPUT -p tcp --dport 22 -m recent --update --seconds 30 --hitcount 3 --name SSH -j DROP

# 默认拒绝
iptables -P INPUT DROP

# ============ 日志记录 ============

# 记录被丢弃的数据包（限速避免日志爆炸）
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "IPT-DROP: " --log-level 4

# 查看日志
tail -f /var/log/messages | grep IPT-DROP
# 或
journalctl -k | grep IPT-DROP

# 将外部访问 8080 端口的流量转发到内网 192.168.1.100 的 80 端口
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80

# 需要同时允许转发
iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 80 -j ACCEPT

# 内网 192.168.1.0/24 出站时，源地址伪装为服务器公网 IP
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.1

# 如果是动态 IP（如拨号），用 MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

# 查看所有规则
nft list ruleset

# 创建表和链
nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }
nft add chain inet filter forward { type filter hook forward priority 0 \; policy drop \; }
nft add chain inet filter output { type filter hook output priority 0 \; policy accept \; }

# 添加规则
nft add rule inet filter input iif lo accept
nft add rule inet filter input ct state established,related accept
nft add rule inet filter input tcp dport 22 accept
nft add rule inet filter input tcp dport { 80, 443 } accept
nft add rule inet filter input ct state invalid drop
nft add rule inet filter input ip protocol icmp icmp type echo-request accept

# 删除规则（先列出获取 handle）
nft -a list chain inet filter input
# 输出示例: ... # handle 3
nft delete rule inet filter input handle 3

# /etc/nftables.conf
#!/usr/sbin/nft -f

flush ruleset

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;

        # 允许回环
        iif lo accept

        # 允许已建立的连接
        ct state established,related accept
        ct state invalid drop

        # 允许 SSH（仅管理网段）
        ip saddr 10.0.0.0/8 tcp dport 22 accept

        # 允许 HTTP/HTTPS
        tcp dport { 80, 443 } accept

        # 允许 ICMP
        ip protocol icmp icmp type echo-request accept

        # 日志并丢弃其余
        limit rate 5/minute log prefix "NFT-DROP: " level warn
        drop
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
    }

    chain output {
        type filter hook output priority 0; policy accept;
    }
}

# NAT 表（如有需要）
table ip nat {
    chain prerouting {
        type nat hook prerouting priority -100;
        tcp dport 8080 dnat to 192.168.1.100:80
    }

    chain postrouting {
        type nat hook postrouting priority 100;
        ip saddr 192.168.1.0/24 oif eth0 masquerade
    }
}

# 应用配置
nft -f /etc/nftables.conf

# 设为开机启动
systemctl enable nftables

# 定义 IP 黑名单集合
nft add set inet filter blacklist { type ipv4_addr \; }
nft add element inet filter blacklist { 192.168.100.1, 192.168.100.2 }
nft add rule inet filter input ip saddr @blacklist drop

# 定义端口白名单集合
nft add set inet filter allowed_ports { type inet_service \; elements = { 22, 80, 443 } }
nft add rule inet filter input tcp dport @allowed_ports accept

# 安装
apt install ufw

# 启用/禁用
ufw enable
ufw disable
ufw status verbose
ufw reload
ufw --force reset            # 清空所有规则

# 默认策略
ufw default deny incoming
ufw default allow outgoing
ufw default deny forward

# 允许端口
ufw allow 22/tcp                    # 允许 SSH
ufw allow 80,443/tcp                # 允许 HTTP/HTTPS
ufw allow from 10.0.0.0/8 to any port 22  # 仅限管理网段 SSH

# 允许应用配置文件
ufw app list                        # 查看可用应用
ufw allow 'OpenSSH'                 # 按应用名放行
ufw allow 'Nginx Full'              # Nginx HTTP+HTTPS

# 拒绝端口
ufw deny 23/tcp                     # 禁止 telnet

# 删除规则
ufw status numbered                 # 查看带编号的规则
ufw delete 3                        # 按编号删除
ufw delete allow 80/tcp             # 按规则删除

# 日志
ufw logging on                      # 开启日志
ufw logging low                     # 日志级别：off/low/medium/high/full

# 自定义应用配置
# /etc/ufw/applications.d/myapp
[MyApp]
title=My Custom Application
description=My custom TCP application
ports=8080/tcp|9090/tcp

# 加载
ufw app update MyApp
ufw allow MyApp

# 限制 SSH 连接速率（30 秒内最多 6 次）
ufw limit 22/tcp

# 相当于：
# iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW \
#   -m recent --set --name SSH
# iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW \
#   -m recent --update --seconds 30 --hitcount 6 --name SSH -j DROP

ufw default deny incoming
ufw default allow outgoing
ufw allow 22000/tcp        # 修改后的 SSH 端口
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow from <办公室 IP> to any port 9090   # 面板限 IP
ufw enable

# 查看状态
firewall-cmd --state
firewall-cmd --get-active-zones
firewall-cmd --get-default-zone
firewall-cmd --list-all

# 切换区域
firewall-cmd --set-default-zone=public
firewall-cmd --change-interface=eth0 --zone=public

# 服务管理
firewall-cmd --list-services
firewall-cmd --add-service=http --permanent
firewall-cmd --add-service=https --permanent
firewall-cmd --remove-service=dhcpv6-client --permanent

# 端口管理
firewall-cmd --add-port=8080/tcp --permanent
firewall-cmd --remove-port=8080/tcp --permanent
firewall-cmd --list-ports

# 重载配置（使 --permanent 生效）
firewall-cmd --reload

# 仅允许特定 IP 段 SSH
firewall-cmd --permanent --add-rich-rule='
  rule family="ipv4"
  source address="10.0.0.0/8"
  port protocol="tcp" port="22"
  accept'

# 限制连接速率
firewall-cmd --permanent --add-rich-rule='
  rule family="ipv4"
  port protocol="tcp" port="22"
  accept
  limit value="3/m"'

# 拒绝特定 IP 并记录日志
firewall-cmd --permanent --add-rich-rule='
  rule family="ipv4"
  source address="192.168.100.50"
  port protocol="tcp" port="80"
  log prefix="FWDROP: " level="info"
  drop'

# 端口转发（DNAT）
firewall-cmd --permanent --add-rich-rule='
  rule family="ipv4"
  forward-port port="8080" protocol="tcp"
  to-port="80" to-addr="192.168.1.100"'

# 开启伪装（相当于 SNAT/MASQUERADE）
firewall-cmd --permanent --zone=public --add-masquerade

# 查看
firewall-cmd --query-masquerade

# 紧急断网（panic 模式）
firewall-cmd --panic-on
firewall-cmd --panic-off

# 临时规则（重启后失效）
firewall-cmd --add-port=8080/tcp          # 不加 --permanent

# ufw 看到的（只是 ufw 自己的）
sudo ufw status

# iptables 看到的（所有规则，包括 docker、fail2ban 写的）
sudo iptables -L -n -v
sudo iptables -t nat -L -n -v

# nftables 看到的（新发行版）
sudo nft list ruleset

# 1. 停掉 / 卸载所有防火墙前端
sudo systemctl stop ufw
sudo systemctl disable ufw
sudo apt purge -y iptables-persistent ufw

# 2. 清空内存中的规则
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo ip6tables -F
sudo ip6tables -X

# 3. 默认策略先设为 ACCEPT
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT

# 4. 重启确认
sudo reboot

# 5. 重启后再装回想用的工具
sudo apt install -y ufw

# 典型安全组规则示例（以 CLI 伪代码表示）

# 入站规则
inbound_rules = [
    # SSH - 仅限办公网段
    { protocol: "tcp", port: 22, source: "114.114.0.0/16", desc: "办公网 SSH" },

    # HTTP/HTTPS - 全网
    { protocol: "tcp", port: 80, source: "0.0.0.0/0", desc: "HTTP" },
    { protocol: "tcp", port: 443, source: "0.0.0.0/0", desc: "HTTPS" },

    # 数据库 - 仅限应用服务器
    { protocol: "tcp", port: 3306, source: "10.0.1.0/24", desc: "内网 MySQL" },

    # ICMP - 允许 ping
    { protocol: "icmp", port: -1, source: "0.0.0.0/0", desc: "Ping" },
]

# 出站规则
outbound_rules = [
    { protocol: "all", port: -1, destination: "0.0.0.0/0", desc: "允许所有出站" },
]

┌──────────────────────────────────────────────┐
│                  互联网                        │
└──────────┬───────────────────────────┬────────┘
           │                           │
     ┌─────▼─────┐              ┌──────▼──────┐
     │ Web 安全组  │              │  SSH 安全组   │
     │ 80/443 开放 │              │ 22 限办公网   │
     └─────┬─────┘              └──────┬──────┘
           │                           │
     ┌─────▼──────────────────────────────▼────┐
     │              应用服务器（Web 层）           │
     └─────────────────┬───────────────────────┘
                       │
                 ┌─────▼─────┐
                 │ DB 安全组   │
                 │ 3306 仅限   │
                 │ 应用层网段   │
                 └─────┬─────┘
                       │
                 ┌─────▼─────┐
                 │ 数据库服务器 │
                 └───────────┘

# 查看本机监听端口
ss -tlnp                          # 推荐，比 netstat 更快
netstat -tlnp                     # 传统方式
lsof -i -P -n | grep LISTEN       # 查看哪些进程在监听

# 检查特定端口
ss -tlnp | grep :22
ss -tlnp | grep :3306

# 从外部扫描（需要 nmap）
nmap -sT -p 1-65535 10.0.0.1     # TCP 全端口扫描
nmap -sU -p 1-1000 10.0.0.1      # UDP 扫描（慢）
nmap -sV 10.0.0.1                 # 服务版本探测
nmap -O 10.0.0.1                  # 操作系统探测

# 快速检查特定端口是否开放
nc -zv 10.0.0.1 22                # 测试 TCP 连接
nc -zuv 10.0.0.1 53               # 测试 UDP 连接

# /etc/ssh/sshd_config
Port 22222
PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
LoginGraceTime 30

# 重启前确保新端口在防火墙中放行！
# iptables
iptables -A INPUT -p tcp --dport 22222 -j ACCEPT
# 或 UFW
ufw allow 22222/tcp

# 重启 SSH
systemctl restart sshd

# 安装 knockd
apt install knockd

# /etc/knockd.conf
[options]
    logfile = /var/log/knockd.log

[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 10
    command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22222 -j ACCEPT
    tcpflags    = syn

[closeSSH]
    sequence    = 9000,8000,7000
    seq_timeout = 10
    command     = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22222 -j ACCEPT
    tcpflags    = syn

# 启动
systemctl start knockd

# 客户端敲门
knock -v server_ip 7000 8000 9000
ssh -p 22222 user@server_ip
knock -v server_ip 9000 8000 7000

# /etc/sysctl.conf

# SYN Flood 防护
net.ipv4.tcp_syncookies = 1                # 启用 SYN Cookie
net.ipv4.tcp_max_syn_backlog = 8192        # SYN 队列长度
net.ipv4.tcp_synack_retries = 2            # SYN+ACK 重试次数
net.ipv4.tcp_syn_retries = 3               # SYN 重试次数

# 连接跟踪优化
net.netfilter.nf_conntrack_max = 262144    # 最大连接跟踪数
net.netfilter.nf_conntrack_tcp_timeout_established = 1200
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30

# 其他安全参数
net.ipv4.conf.all.rp_filter = 1           # 反向路径过滤
net.ipv4.conf.all.accept_redirects = 0     # 禁止 ICMP 重定向
net.ipv4.conf.all.send_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1   # 忽略广播 ping
net.ipv4.conf.all.accept_source_route = 0  # 禁止源路由
net.ipv4.ip_forward = 1                    # 如需转发则开启

# 立即生效
sysctl -p

# ============ SYN Flood 防护 ============
# 限制 SYN 包速率
iptables -A INPUT -p tcp --syn -m limit --limit 100/s --limit-burst 200 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

# ============ 连接数限制 ============
# 单 IP 最大并发连接数
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP

# 单 IP 每分钟新建连接数限制
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW \
  -m recent --set --name HTTP
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW \
  -m recent --update --seconds 60 --hitcount 100 --name HTTP -j DROP

# ============ UDP/ICMP Flood 防护 ============
iptables -A INPUT -p udp -m limit --limit 50/s -j ACCEPT
iptables -A INPUT -p udp -j DROP
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

# ============ 丢弃异常包 ============
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP            # NULL 包
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP             # XMAS 包
iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP    # SYN+FIN
iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP    # SYN+RST

# 安装
apt install fail2ban

# /etc/fail2ban/jail.local
[DEFAULT]
bantime  = 3600          # 封禁时间（秒）
findtime = 600           # 检测时间窗口
maxretry = 5             # 最大失败次数
banaction = iptables-multiport

[sshd]
enabled  = true
port     = ssh
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 3

[nginx-http-auth]
enabled  = true
port     = http,https
filter   = nginx-http-auth
logpath  = /var/log/nginx/error.log

# 自定义过滤器示例
# /etc/fail2ban/filter.d/nginx-cc.conf
[Definition]
failregex = ^<HOST> .* "(GET|POST).*" (403|444) .*$
ignoreregex =

# 启动
systemctl enable fail2ban
systemctl start fail2ban

# 常用命令
fail2ban-client status
fail2ban-client status sshd
fail2ban-client set sshd unbanip 1.2.3.4

# 安装
apt install aide

# 初始化数据库
aideinit

# 移动为正式数据库
cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# 检查变更
aide --check

# 更新数据库（确认变更合法后）
aide --update
cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# 定时检查（crontab）
0 3 * * * /usr/bin/aide --check | mail -s "AIDE Report" admin@example.com

# 安装
apt install rkhunter

# 更新数据库
rkhunter --update
rkhunter --propupd

# 全面扫描
rkhunter --check --sk

# 查看日志
cat /var/log/rkhunter.log

# 安装（简化步骤）
wget https://github.com/ossec/ossec-hids/archive/3.7.0.tar.gz
tar xzf 3.7.0.tar.gz
cd ossec-hids-3.7.0
./install.sh

# 主要功能：
# - 日志分析（syslog, auth.log, Apache/Nginx 日志）
# - 文件完整性监控
# - Rootkit 检测
# - 实时告警（邮件通知）
# - 主动响应（自动封禁恶意 IP）

# 查看失败的 SSH 登录
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn | head -20

# 查看成功登录
grep "Accepted" /var/log/auth.log

# 查看可疑的 sudo 使用
grep "sudo:" /var/log/auth.log | grep -i "command"

# 查看最近登录用户
last -a | head -20
lastb -a | head -20                    # 失败的登录

# 实时监控可疑活动
tail -f /var/log/auth.log | grep -i "failed\|invalid\|error"

# 使用 journalctl 查看安全事件
journalctl -u sshd --since "1 hour ago"
journalctl _COMM=sshd --since today | grep "Failed"

□ 防火墙已启用（iptables/nftables/ufw/firewalld）
□ 默认策略设置为 DENY/DROP
□ SSH 端口已修改（非默认 22）
□ root 远程登录已禁用
□ SSH 已禁用密码登录，仅允许密钥
□ SSH 连接速率已限制
□ 只开放了业务必需端口
□ 数据库端口未对外暴露
□ 管理端口仅限特定 IP 段
□ 云安全组规则已配置且与系统防火墙一致
□ fail2ban 已安装并启用
□ 内核安全参数已调优
□ 文件完整性检测已配置（AIDE）
□ 安全日志已开启并定期检查
□ 自动安全更新已启用

#!/bin/bash
# security-audit.sh - 安全审计脚本

echo "====== 端口检查 ======"
echo "监听中的端口："
ss -tlnp

echo ""
echo "====== 防火墙规则 ======"
if command -v ufw &>/dev/null; then
    ufw status verbose
elif command -v firewall-cmd &>/dev/null; then
    firewall-cmd --list-all
else
    iptables -L -n -v --line-numbers
fi

echo ""
echo "====== SSH 配置检查 ======"
echo "PermitRootLogin: $(grep -i '^PermitRootLogin' /etc/ssh/sshd_config || echo '未设置')"
echo "PasswordAuth: $(grep -i '^PasswordAuthentication' /etc/ssh/sshd_config || echo '未设置')"
echo "Port: $(grep -i '^Port' /etc/ssh/sshd_config || echo '默认 22')"

echo ""
echo "====== 最近失败登录 ======"
grep "Failed password" /var/log/auth.log 2>/dev/null | tail -10

echo ""
echo "====== 安全更新 ======"
apt list --upgradable 2>/dev/null | head -20

echo ""
echo "====== 磁盘使用 ======"
df -h | awk '$5 > 80 {print "警告: " $0}'

echo ""
echo "====== 运行中的进程 ======"
ps aux | wc -l
echo "总进程数如上"

发现可疑活动
     │
     ▼
1. 确认攻击类型和来源
   - 检查 /var/log/auth.log
   - 检查防火墙日志
   - ss -tlnp 查看异常连接
     │
     ▼
2. 立即封禁攻击源
   - iptables -A INPUT -s <攻击IP> -j DROP
   - 云安全组添加拒绝规则
     │
     ▼
3. 评估影响范围
   - 检查是否有未授权进程
   - 检查是否有新增用户
   - 检查关键文件是否被修改（AIDE --check）
     │
     ▼
4. 清理和修复
   - 终止可疑进程
   - 删除未授权账户和 SSH 密钥
   - 更新所有密码和密钥
   - 修补安全漏洞
     │
     ▼
5. 加固防护
   - 收紧防火墙规则
   - 更新 fail2ban 配置
   - 部署更严格的监控
     │
     ▼
6. 记录和复盘
   - 编写事故报告
   - 更新应急响应预案
   - 分享经验教训

#!/bin/bash
# quick-hardening.sh - 快速安全加固（适用于新服务器）

set -e

echo "[1/6] 更新系统..."
apt update && apt upgrade -y

echo "[2/6] 配置 UFW..."
apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22222/tcp    # 修改后的 SSH 端口
ufw allow 80/tcp
ufw allow 443/tcp
ufw --force enable

echo "[3/6] 加固 SSH..."
sed -i 's/#Port 22/Port 22222/' /etc/ssh/sshd_config
sed -i 's/PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
sed -i 's/#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
echo "MaxAuthTries 3" >> /etc/ssh/sshd_config
systemctl restart sshd

echo "[4/6] 安装 fail2ban..."
apt install -y fail2ban
cat > /etc/fail2ban/jail.local <<EOF
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3

[sshd]
enabled = true
port = 22222
EOF
systemctl enable fail2ban
systemctl start fail2ban

echo "[5/6] 内核安全参数..."
cat >> /etc/sysctl.conf <<EOF
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.conf.all.accept_source_route = 0
EOF
sysctl -p

echo "[6/6] 启用自动安全更新..."
apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

echo "安全加固完成！"
echo "请确保 SSH 密钥已配置，然后尝试用新端口 22222 连接。"