快速上手云服务器 越南部署安全组与防火墙设置详解

1. 越南部署为何需重视安全组与防火墙

1) 越南本地与国际出口带宽差异会影响延迟与吞吐，故需在网络边界做流量策略。
2) 法规与数据主权（例如本地备案、越南法律）要求对域名与主机访问控制记录留存。
3) 常见攻击向量：SSH爆破、HTTP慢速攻击、SYN泛洪与应用层DDoS。
4) 云安全组通常在三层做允许规则，主机防火墙在七层做精细控制，两者结合能提升防护层级。
5) 推荐做法：最小开放端口、默认拒绝入站、分区管理（公网负载、应用层、数据库层）。

2. 安全组与主机防火墙的作用与设计

1) 安全组（云侧）：状态化允许规则，按IP/端口/协议白名单化管理。
2) 主机防火墙（iptables/ufw/nftables）：细粒度策略、连接追踪与速率限制。
3) 最佳实践：在安全组允许80/443、负载均衡器IP与监控IP，数据库端口仅允许内网或跳板机IP。
4) 出站控制：限制服务器向外暴露过多服务，防止被用作代理或外联隧道。
5) 日志与审计：开启云提供商流日志（VPC Flow Logs）并同步到集中日志系统。

3. 常用防火墙与内核参数示例（可直接复制应用）

1) 开启SYN cookies：sysctl -w net.ipv4.tcp_syncookies=1（建议1）。
2) 提高连接跟踪表：sysctl -w net.netfilter.nf_conntrack_max=262144（针对并发连接高的站点）。
3) 限制半开连接队列：sysctl -w net.ipv4.tcp_max_syn_backlog=2048。
4) iptables速率限制示例：iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT
5) ufw快速规则示例：ufw default deny incoming; ufw allow 80/tcp; ufw allow 443/tcp; ufw limit 22/tcp

4. CDN 与 DDoS 防护结合策略（含真实案例）

1) 使用全球CDN（例如Cloudflare或阿里云CDN）将流量引导至边缘，降低原站带宽峰值。
2) 启用WAF与速率限制规则，对疑似爬虫/刷单流量以挑战页或JS挑战处理。
3) 实例：越南电商在促销期遭遇每秒8000 RPS的HTTP GET洪水，开启Cloudflare并启用"I'm under attack"后原站带宽从峰值600 Mbps降至30 Mbps。
4) 边缘过滤后，云端安全组再对IP白名单与黑名单进行二次过滤，减少主机CPU负载。
5) 建议配置：CDN缓存静态资源、WAF拦截注入与非法URI、全站HTTPS并启用HSTS。

5. 真实部署配置示例表（示例环境：越南节点/新加坡出口）

以下表格为三个示例实例配置（Web/DB/负载均衡），用于快速参考：

实例	CPU	内存	磁盘	带宽	安全组规则摘要
web-1	4 vCPU	8 GB	100 GB SSD	10 Gbps共享	允许80/443，SSH限IP
db-1	8 vCPU	32 GB	500 GB NVMe	私网，仅备份出站10 Mbps	仅允许内网3306，定期备份到安全存储
lb-1	2 vCPU	4 GB	50 GB SSD	20 Gbps峰值	仅允入站80/443，健康检查来自CDN

6. 上线前检查清单与监控告警建议

1) 检查安全组规则是否遵循最小权限原则，确认SSH仅开放给运维IP。
2) 部署Fail2Ban或类似工具防止爆破，策略：5次失败后封禁1小时。
3) 设置带宽/连接数告警：例如当5分钟内入站流量>200 Mbps或conntrack>200k触发告警。
4) 定期演练：模拟高并发和单节点故障，验证CDN削峰、负载均衡故障转移与数据库只读切换。
5) 备份与恢复：数据库每日全量备份、每小时增量，并测试恢复时间目标（RTO）<24小时、恢复点目标（RPO）<1小时。

来源：快速上手云服务器 越南部署安全组与防火墙设置详解