【云服务器】阿里云部署项目、攻击CPU解决方案

码农C风

已于 2022-09-14 20:52:15 修改

阅读量1.2k

点赞数

分类专栏：开发技术【各层技术，docker部署】文章标签：服务器阿里云 linux 服务发现 web app

于 2022-09-09 23:07:29 首次发布

本文链接：https://blog.csdn.net/a23452/article/details/126790684

版权

开发技术【各层技术，docker部署】专栏收录该内容

17 篇文章 1 订阅

订阅专栏

部署运维

内容管理

将项目运行部署在阿里云服务器上面运行

Cfeng之前分享打包部署的时候，只是介绍了几种部署方式，比如jar、war、yum、docker等，现代化打包方式当然还是docker，docker部署需要编写dockerFile，进行镜像的构建；

接下来为了内容的完整性，补充云服务器的运维部署

阿里云服务器

Cfeng使用的是阿里云服务器，所以这里就使用阿里云进行介绍：首先就是购买服务器，这个看个人选择不同的价位的服务器，购买之后，一般就会阿里就会发短信提示购买成功，并且会给出公网的IP，之后we可以进入修改信息：

云服务器管理控制台 (aliyun.com) ：次要的可以修改服务器实例ECS的实例的名称或者密码，可以选择修改一下host名称， Cfeng还是选择的Centos系统，所以host名称会显示在控制台上面

其余的部署情况和之前是相同的，但是为了能够成功的访问，需要配置安全组规则；在控制台中选择手动新增安全组规则，选择新增一个所有的，或者固定port的规则

配置完成之后，就可以使用Xshell进行远程连接，默认的端口就是22，连接的IP就是公网IP，输入登录名称和密码即可建立连接远程操作

Connecting to 8.130.34.133:22...
Connection established.
To escape to local shell, press 'Ctrl+Alt+]'.

Last failed login: Thu Sep  8 14:30:10 CST 2022 from 3.82.192.156 on ssh:notty
There was 1 failed login attempt since the last successful login.
Last login: Thu Sep  8 13:49:09 2022 from 61.185.207.95

Welcome to Alibaba Cloud Elastic Compute Service !

[root@cfengAli ~]#

之后就进入了云服务器的LInux系统，按照之前的步骤进行打包部署即可

参照Cfeng之前的文章配置mysql、java、 redis、docker的环境

环境配置

因为之前linux部分和之后的博客均给出了配置的过程，下面就直接列出简单的命令，装配redis、java、mysql、docker等环境

redis环境
- mkdir cfeng/software -p
- xftp 上传redis安装包
- tar -zxvf redis-6.2.6.tar.gz -C /usr/local/
- yum install wget
- /etc/yum.repos.d目录下 cp CentOS-Base.repo CentOs-Base.repo.backup
- wget http://mirrors.aliyun.com/repo/Centos-7.repo
- mv Centos-7.repo CentOS-Base.repo
- yum clean all
- yum makecache
- yum -y install gcc
- cd /usr/local/redis-6.2.6
- make install
- touch /usr/lib/systemd/system/redis.service
- vim 中 ctrl + ins
[Unit]
Description=The redis-server Process Manager
After=syslog.target network.target

[Service]
Type=simple
PIDFile=/var/run/redis_6379.pid
ExecStart=/usr/local/redis-6.2.6/src/redis-server /usr/local/redis-6.2.6/redis.conf
ExecReload=/bin/kill -USR2 $MAINPID
ExecStop=/bin/kill -SIGINT $MAINPID

[Install]
WantedBy=multi-user.target
- systemctl enable redis
- vim /usr/local/redis-6.2.6/redis.conf
修改bind 为 bind 0.0.0.0 指定的ip为统一网段或者localhost监听ip，配置内网其他网段或者公网ip重启都会失败【直接使用firewalld进行处理】

daemonize 改为yes

protected-mode 改为 yes

requirepass 设置为强密码

logfile 为 /var/log/redis/redis-server.log
- 【systemctl stop firewalld】不安全
- systemctl enable firewalld /start 开启防火墙
- firewall-cmd --add-port=8083/tcp --permanent 开放8083端口
- firewall-cmd --reload
- firewall-cmd --permanent --add-rich-rule=“rule family=“ipv4” source address=“61.185.207.9X” port protocol=“tcp” port=“22” accept” 22、6379、3306、9001等端口开放给指定ip
- systemctl restart firewalld
- systemctl restart redis

##### 防火墙设置firewalld   firewall-cmd

systemctl  status/stop/start/enable XX

firewall-cmd 【选项】

-h  , --help   帮助信息
-v , --version 显示版本信息 【不组合】
-q, --quiet   不打印状态

--state    显示firewalld状态
--reload    不中断服务重新加载
--conmplete-reload  终端服务重新加载
--runtime-to-permanent  防火墙规则永久保存
--check-config    检查配置正确性

rich rule是对于开放端口更加详细的设置，一般直接无限制开放端口使用add-port， 设置情况下使用rich rule


firewall-cmd --get-active-zones   查看区域 【默认接口都在public区域】
firewall-cmd --add-port=6379/tcp  --permanent  开放端口永久
firewall-cmd --zone=public --remove-port=6379/tcp --permanent

firewall-cmd --zone=public --query-port=6379/tcp

firewall-cmd --zone=public --list-ports  查看所有的add-ports
firewall-cmd --zone=public --list-all   查看所有的规则（port、rich rule等）

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="61.185.207.95" port protocol="tcp" port="22" accept"

firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="192.168.142.166" port protocol="tcp" port="11300" accept"

systemctl restart  firewalld  rich rule生效

- firewall-cmd    --state   查看状态
- firewall-cmd --add-port=6379/tcp  --permanent  【bind绑定只是本机访问】
- firewall-cmd --query-port=6379/tcp 
- firewall-cmd --reload   之后查询yes

进入/etc/selinux/config 查看selinux的状态，一般都是disabled

Docker环境
- wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
- wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
- yum clean all yum makecache iptables -F getenfore(disabled) 【本机没有iptables防火墙，使用的firewalld】
- 网卡配置发放
cat < /etc/sysctl.d/docker.conf
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.all.rp_filter = 0
net.ipv4.ip_forward = 1
EOF
- modprobe br_netfilter
- sysctl -p /etc/sysctl.d/docker.conf
- curl -o /etc/yum.repos.d/docker-ce.repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
- curl -o /etc/yum.repos.d/CentOS-7.repo http://mirrors.aliyun.com/repo/Centos-7.repo
- yum list docker-ce --showduplicates | sort -r
- yum install docker-ce-20.10.6 -y (卸载remove)
- mkdir -p /etc/docker
- touch /etc/docker/daemon.json （vim）
{
“registry-mirrors”: [“https://registry.docker-cn.com”,“http://hub-mirror.c.163.com”,“https://docker.mirrors.ustc.edu.cn”,“https://pee6w651.mirror.aliyuncs.com”],
“live-restore”: true
}
- systemctl daemon-reload
- systemctl enable docker
- systemctl restart docker
Docker中 MinIO
- docker search minio
- docker pull minio/minio
公网IP的拉取可能会报错：Error response from daemon: Head https://registry-1.docker.io/v2/minio/minio/manifests/latest: TLS handshake timeout

解析ip不可用，可以使用dig工具
- yum install bind-utils
- dig @114.114.114.114 registry-1.docker.io
- vi /etc/hosts 找到上面的一组IP
  
  54.83.42.45 registry-1.docker.io
- 同时修改一下镜像加速源，可以同时配置多个（上面）
- systemctl restart docker
- docker images
- mkdir /data
- docker run -p 9000:9000 -p 9001:9001 -v /data/minio/data:/data -e “MINIO_ROOT_USER=cfeng” -e “MINIO_ROOT_PASSWORD=fjVEALXufI23H2aOrZTC” 7f4aefb1a8d6 server /data --console-address “:9001”
- docker ps -a 【docker start XXX】开放给本机端口9001【安全组】，本机可可视化操作
JAVA 环境
- java -version 【查看】
- cd /usr/local
- mkdir java
- cd java
- xftp 传输java安装包到java文件夹
- tar -zxvf jdk-17.0.2_linux-x64_bin.tar.gz
- rm -f jdk-17.0.2_linux-x64_bin.tar.gz
- vim /etc/profile
```
export JAVA_HOME=/usr/local/java/jdk-17.0.2
export CLASSPATH=.:$JAVA_HOME/lib:$JAVA_HOME/jre/lib
export PATH=$PATH:$JAVA_HOME/bin:$JAVA_HOME/jre/bin:/usr/local/mysql/mysql8/bin
```
- source /etc/profile
- java -version

MySQL

rpm -qa | grep mariadb
rpm -e --nodeps mariadb-libs-5.5.68-1.el7.x86_64
Xftp 传输到 software中
【cd /usr/local】 mkdir mysql
mv mysql-8.0.27-linux-glibc2.12-x86_64.tar.xz /usr/local/mysql/
tar -Jxvf mysql-8.0.27-linux-glibc2.12-x86_64.tar.xz
rm -f mysql-8.0.27-linux-glibc2.12-x86_64.tar.xz
mv mysql-8.0.27-linux-glibc2.12-x86_64 mysql8

配置环境变量   vim   /etc/profile        source /etc/profile

export PATH=$PATH:$JAVA_HOME/bin:$JAVA_HOME/jre/bin:/usr/local/mysql/mysql8/bin

直接以冒号结尾，添加新的 linux中使用$XXX引用 环境变量， windows中也可以echo输出

【cd /usr/local/mysql/mysql8/】 mkdir data
groupadd mysql
useradd -g mysql cfeng
chown -R cfeng /usr/local/mysql/mysql8
chgrp mysql /usr/local/mysql/mysql8
vim /usr/local/etc/myMysql.conf

[mysql]
default-character-set=utf8mb4
[client]
port       = 3306
socket     = /tmp/mysql.sock
[mysqld]
port       = 3306
server-id  = 3306
user       = cfeng
socket     = /tmp/mysql.sock
# 安装目录
basedir    = /usr/local/mysql/mysql8
# 数据存放目录
datadir    = /usr/local/mysql/mysql8/data
log-bin    = /usr/local/mysql/mysql8/data/mysql-bin
innodb_data_home_dir      =/usr/local/mysql/mysql8/data
innodb_log_group_home_dir =/usr/local/mysql/mysql8/data
# 日志及进程数据的存放目录
log-error =/usr/local/mysql/mysql8/data/mysql.log
pid-file  =/usr/local/mysql/mysql8/data/mysql.pid
# 服务端字符集
character-set-server=utf8mb4
lower_case_table_names=1
autocommit =1
##### 配置相关的数据量
skip-external-locking
key_buffer_size = 256M
max_allowed_packet = 1M
table_open_cache = 1024
sort_buffer_size = 4M
net_buffer_length = 8K
read_buffer_size = 4M
read_rnd_buffer_size = 512K
myisam_sort_buffer_size = 64M
thread_cache_size = 128
#query_cache_size = 128M
tmp_table_size = 128M
explicit_defaults_for_timestamp = true
max_connections = 500
max_connect_errors = 100
open_files_limit = 65535
binlog_format=mixed
binlog_expire_logs_seconds =864000
# 创建表时使用的默认存储引擎
default_storage_engine = InnoDB
innodb_data_file_path = ibdata1:10M:autoextend
innodb_buffer_pool_size = 1024M
innodb_log_file_size = 256M
innodb_log_buffer_size = 8M
innodb_flush_log_at_trx_commit = 1
innodb_lock_wait_timeout = 50
transaction-isolation=READ-COMMITTED
[mysqldump]
quick
max_allowed_packet = 16M
[myisamchk]
key_buffer_size = 256M
sort_buffer_size = 4M
read_buffer = 2M
write_buffer = 2M
[mysqlhotcopy]
interactive-timeout

mysqld --defaults-file=/usr/local/etc/myMysql.conf --basedir=/usr/local/mysql/mysql8 --datadir=/usr/local/mysql/mysql8/data --user=cfeng --initialize-insecure

云服务器操作系统很干净，里面很多依赖都没有， 这里可能报错缺少libaio.so.1
使用yum安装即可

yum install -y libaio

mysqld_safe --defaults-file=/usr/local/etc/myMysql.conf &
mysql -u root --skip-password
ALTER USER ‘root’@‘localhost’ IDENTIFIED WITH mysql_native_password BY ‘GZmCfk6fkKkMA5I6IDgs’;
FLUSH PRIVILEGES;
CREATE user ‘cfeng’@‘%’;
ALTER USER ‘cfeng’@‘%’ IDENTIFIED WITH mysql_native_password BY ‘y84PbgfwzC1to2DiJqie’;
GRANT ALL PRIVILEGES ON . TO ‘cfeng’@‘%’;
FLUSH PRIVILEGES;
touch /usr/lib/systemd/system/mysql.service

vim 

[Unit]
Description=MySQL Server
Documentation=man:mysqld(8)
Documentation=http://dev.mysql.com/doc/refman/en/using-systemd.html
After=network.target
After=syslog.target

[Install]
WantedBy=multi-user.target

[Service]
User=cfeng
Group=mysql
ExecStart=/usr/local/mysql/mysql8/bin/mysqld_safe --defaults-file=/usr/local/etc/myMysql.conf 
LimitNOFILE = 5000
#Restart=on-failure
#RestartPreventExitStatus=1
#PrivateTmp=false

systemctl enable mysql
systemctl restart mysql

MongoDB依赖【本地运行，不开放外部连接】
- docker search mongo
- docker pull mongo
- 【minio的data在/data/minio/data cd /data】 mkdir -p mongo/db
- docker run -itd -p 27017:27017 -v /data/mongo/db:/data/db mongo 【需要密码就可以设置】这里直接运行了，不需要密码

若需要密码，uri方式yml
uri: mongodb://cfeng:a1234567890b@localhost:27017/XiaohuanChat

jar 部署
- xftp传输jar
- java -jar XXX 运行
- yum install fontconfig 【验证码解析kaptcha Linux】
- cd /usr/share/fonts
- fc-cache
nohup java -jar XXX & 一直运行，不随着窗口关闭影响

阿里云被攻击CPU爆满

现实果然残酷，刚把服务器的安全组开放了redis和jar的端口，马上就被美国内华达的IP攻击了， CPU一下子就爆满了；首先直观的感受：远程的连接一下子就非常慢，卡住了，云服务器端观察CPU从攻击时刻开始高居不下【不要随便开放端口，数据库的密码设置强密码，并且开放的IP不要让任何IP都访问，现在的黑客技术 ~ 】

首先检查占用情况

top 结果没有查看任何的情况，CPU看不到占用很多的，伪装技术好啊
ps -ux 也没有看到占用巨量CPU的
pstree -p 查看进程树终于看到一个进程pncan 一次性开了几百个进程，直接从8087一直到后面…
kill -9 XXX 删除危险进程
rm -f XXX 删除脚本文件
crontab -r 删除定时任务

杀了进程，查看定时任务，结果没有【又被伪装了emmm…】

将写入的相关的sh文件删除，如果没有权限就设置权限

如果和Cfeng一样后面因为卡爆了，命令执行不了，只能 — 重装初始化系统 ---- 血泪教训，不要开放端口了，只给自己开了…

需要注意ipconfig得到的是在自己无线网络中的ip地址，内网，不是公网的IP，安全组的授权对象是公网IP，61.185.207.95

阿里云密钥对配置

进入网络与安全 --> 密钥对【创建密钥对】设置密钥对名称、创建密钥，下载.pem文件到指定位置

将生成的.pem文件复制到本地的 C盘下面的.ssh文件夹

再在页面中选择密钥绑定，就与本地建立联系，这里就不能使用Xshell凭密码登录，必须通过密钥

有时出现重启之后Xshell连接不了，就在实例中选择远程命令：之后执行

chmod 400 /etc/ssh/*

使用cpolar进行内网穿透

不是所有的应用都需要上云的，作为个人开发者，很多小的测试Demo是没有必要专门买一台服务器进行部署的，这里Cfeng简单分享cpolar的内网穿透的解决方案，平时的小demo可以使用【防火墙等安全防护措施做好，不然直接压垮】

进入cpolar的官方网站免费注册： cpolar - 安全的内网穿透工具

注册之后选择普通的0元免费套餐就OK了呀💙, 只是分配的域名地址是随机的，但是只要不关闭应用，那么就可以一直访问

这里先下载Windows版本进行客户端进行介绍

Linux版本，下载客户端压缩包之后，使用xftp传输到虚拟机上面，解压安装：

unzip cpolar-stable-linux-386.zip -d /usr/local/cpolar

cd /usr/local/cpolar

进行远程链接，使用注册后cpolar分配的authToken进行链接

./cpolar authtoken ZGU5ZTJmMDUtNGRkNS00MjYzLThhOGYtNGJkNjMxYTY4ZDU2

这里Cfeng执行后Authtoken saved to configuration file: /root/.cpolar/cpolar.yml，在这里面就是令牌

解压之后的文件夹里就是命令cpolar，直接通过./cpolar version可以查看版本

还可以直接下载

curl -L https://www.cpolar.com/static/downloads/install-release-cpolar.sh | sudo bash

installed: /usr/local/bin/cpolar
installed link: /usr/bin/cpolar
installed: /usr/local/etc/cpolar/cpolar.yml
installed: /var/log/cpolar/
installed: /var/log/cpolar/access.log
installed: /var/log/cpolar/error.log
installed: /etc/systemd/system/cpolar.service
installed: /etc/systemd/system/cpolar@.service
removed: /tmp/tmp.rSr29Zsun2

下载之后就可以直接使用cpolar命令

cpolar version
cpolar authtoken ZGU5ZTJmMDUtNGRkNS00MjYzLThhOGYtNGJkNjMxYTY4ZDU2
systemctl enable cpolar
systemctl start cpolar

Authtoken saved to configuration file: /usr/local/etc/cpolar/cpolar.yml

使用cpolar进行内网穿透

coplar会默认安装两个样例通道，一个website通道，指向8080端口，一个ssh指向22端口，在本地浏览器访问： http://localhost:9200/ 使用用户名密码访问即可

访问之后就可以点击隧道管理，新建隧道，这里默认的两个隧道其实可以关了，避免网络攻击

创建隧道之后，点击状态 —> 在线隧道列表列表，就可以看到映射，这里Cfeng的映射为：

http://6bc22e18.r2.cpolar.cn http://localhost:8083
在这里插入图片描述

后面Cfeng会继续更新关于ICP备案和云服务器故障处理的内容（本篇文章）

码农C风

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
【云服务器】阿里云部署项目、攻击CPU解决方案

部署运维：将web项目部署到阿里云服务器，刚部署就被攻击了，CPU爆满，服务器进入不了，最终初始化；给出jar环境部署全套
复制链接

扫一扫

专栏目录