Linux无障碍环境搭建：7年接口工程师实战指南

　　两个月前给测试环境搭无障碍访问，运维总监拍桌子说“这破玩意儿能比WAF有用？”我原以为他只是嫌麻烦，结果他甩了份日志——凌晨三点十七分，某台测试机突然往外连192.168.1.123，那IP看着眼熟，上周刚在另一台生产机上见过，当时溯源到一半被业务部门叫停，说“别影响上线”。现在倒好，两台机器的SSH日志里都有这IP，可WAF规则里根本没拦，因为流量走的是内部网段，规则库默认放行。

　　安全这事儿，最烦的就是“成本”和“收入”掰扯不清。我搞接口开发七年，见过太多安全团队被逼着证明“投入一百万能防住多少攻击”——可攻击次数是玄学，失陷主机数能造假，漏洞编号能刷量，唯独“没出事”这事儿没法量化。就像这次搭无障碍环境，运维总监觉得“多开端口就是多留洞”，我直接把测试机的iptables规则甩他脸上：“你看，我只放行了6379和22，6379还加了密码白名单，22用了密钥认证，连密码登录都禁了，这比你们默认的WAF规则严十倍。”他盯着屏幕看了三秒，说“那为啥不直接用VPN？”我差点笑出声——VPN要装客户端，测试机是容器，装个屁客户端？

　　说到容器，那天半夜群里突然@全员，说某台容器主机CPU飙到99%。我爬起来看日志，发现是个叫“k8s-probe”的进程在疯狂扫端口，进程名看着像K8s自带的，可K8s的探针哪会扫全段？更离谱的是，这进程的PID每隔两分钟就变一次，kill都杀不干净。后来查出来是某个测试脚本里混了段恶意代码，原作者说是“从网上抄的”，抄的时候没删干净。现在这脚本还在代码库里躺着，注释里写着“TODO：修复端口扫描问题”——TODO了三个月，没人敢动，怕影响测试流程。

　　安全是成本不是收入，这点在无障碍环境里体现得最明显。比如测试机要连内网数据库，按常规做法得先申请VPN账号，再配跳板机，最后在WAF里加白名单——这一套流程走下来，测试同学早骂娘了。我直接在测试机上装了WireGuard，配了段CIDR为10.0.0.0/8的路由，数据库服务器只放行WireGuard的UDP端口，连密码都不要，靠预共享密钥认证。运维总监看到这配置，脸都绿了：“你这比直接暴露数据库还危险！”我指着日志说：“你看，这三个月就两个连接，都是测试机的IP，WAF那边每天拦截三百多次SQL注入，其中九十次是测试脚本发的——你说是拦测试流量重要，还是防真实攻击重要？”

　　不过话说回来，无障碍环境也不是万能的。上周有台测试机突然多出个/tmp/x.sh文件，内容是base64编码的shell脚本，解码一看是挖矿程序。我查了半天，发现是某个测试同学用curl直接下了个“测试工具”，没验证签名也没查哈希，直接就执行了。这要放在生产环境，早被WAF拦了，可测试环境为了“无障碍”，把curl的--insecure参数都开了，连自签证书都不验证。现在这同学还在写检查，检查里写“以后会注意”——注意个屁，下个月他调岗了，新来的还得踩同样的坑。

文章配图，仅供参考

　　至于下一步？我打算把测试机的WireGuard配置改成动态密钥，每小时轮换一次，防止密钥泄露。运维总监说“没必要，太麻烦”，我说“麻烦总比失陷好”——他没说话，默默点了根烟。我知道他在想什么，他在想“这破玩意儿到底值不值”——值不值，得等下次攻击来了才知道。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!