端口一关，缓存护航：服务器安全优化实战

　　去年九月，凌晨三点十七分，我盯着屏幕右下角那个跳动的秒数——不是因为紧张，是机房空调坏了，冷凝水顺着走线槽滴到防火墙日志屏边框上，啪嗒、啪嗒，跟心跳不同步。王磊蹲在机柜底下换网线，手电光晃得我左眼发花；他左手腕上那块表带早裂了，胶布缠了三层，还漏着荧光绿。我原以为关掉8080和9200端口顶多让开发骂两天，结果第一波流量打进来时，缓存击穿没发生，反倒是上游那个Python写的健康检查脚本，卡在`urllib3.connectionpool`里死循环了十八秒——它连重试逻辑都没配超时。

　　李薇当时正往嘴里塞第三个生煎，油星溅到她工牌背面。她嚼着说：“你关端口，缓存哪来的护航？护的是谁的航？”我没搭话，把键盘推过去给她看——她手指沾着葱花，点开`redis-cli --latency -h 10.2.4.6`，延迟曲线平得像被熨过。可这玩意儿真护得住？护不住。缓存不护航，它只挑人。优胜劣汰嘛，你扛不住穿透的请求就活该被踢出连接池；下游服务要是连个降级兜底都没有，那就别怪缓存把雪崩写成JSON格式再甩回你curl命令里。

　　那天雨下得特别黏，窗玻璃全是雾，运维老周用指甲盖刮出一条缝往外看，说外面树杈断了两根。我没抬头，只听见他手机响了三声——是家里孩子视频通话申请，他划掉两次，第三次接起来只说了句“爸在切流”，就静音塞回裤兜。切流？我们切的不是流量，是信任链。你把Redis暴露在公网，还开着CONFIG SET，还指望靠密码防住爆破？笑死。端口一关，等于把门锁了，钥匙扔进碎纸机——但缓存不是门卫，它是筛子。漏下去的，是配置毛糙的Service，是没设maxmemory-policy的实例，是还在用HGETALL扫全量的报表任务。

　　有次我看见小陈在改Lua脚本，写了一半停住，掏出半包烟对着散热孔吹——不是点火，就对着那股热风呼气，烟丝都飘起来了。他改的那段是`EVAL "if redis.call('exists',KEYS[1]) == 1 then..."`，逻辑没问题，但KEYS里硬编码了`user:profile:`前缀，后面却拼了个用户输入的ID，中间没过滤。这个我敢打包票：他三天后肯定会被自己写的脚本堵在监控大盘前面，看着`keyspace_hits`暴跌，一边重启一边想为什么`slowlog get 5`里第一条永远是`LRANGE cache:hotlist 0 99`。

　　优胜劣汰不是口号。去年九月我们下了二十三台老旧Redis节点，其中七台是因为哨兵failover时主从切换耗时超过四百六十五毫秒——不是机器老，是sysctl里net.ipv4.tcp_fin_timeout设成六十，而客户端偏偏在TIME_WAIT里赖着不肯走。这事我说不准：到底是内核参数坑人，还是当初部署脚本偷懒抄了别人的/etc/sysctl.conf没校验？反正那天中午饭盒里的红烧肉凉透了，没人动筷子。赵工把勺子倒插进米饭里当旗杆，说“下次咱们给哨兵加个watchdog，自己拉自己一把”。我嗯了一声，其实心里想的是：缓存不救谁，它只放大选择——你选不设`slave-serve-stale-data no`，它就让你在主库挂掉时照常返回脏数据；你选不开`protected-mode yes`，它就替你省了防火墙规则那一页纸。

　　说到防火墙……上周我翻旧日志，发现去年九月十六号那轮压测里，有三分钟里`tcpdump -i eth0 port not 6379 and host 10.2.4.0/24`抓到三百七十二个SYN包——全冲着22端口去的。没人报警，因为SSH服务跑在Docker里，iptables默认DROP，那些包连conntrack表都没进。有意思的是，同一时间`redis-cli -h 10.2.4.6 ping`延迟反而稳在0.8ms。你看，安全不是靠关端口赢的，是靠让攻击者觉得“打不动不如打别的”。缓存干的，就是帮系统把“打不动”这三个字焊死在响应头里。

　　昨天我又看见李薇在调那个生煎摊二维码，手机支架歪着，屏幕反光映出她鼻梁上的粉刺。她忽然说：“你说咱把缓存当盾牌使，可盾牌能防弓箭，防不了自己摔一跤。”我点头，顺手把她桌角那张皱巴巴的《Redis核心配置速查表》抽出来折了飞机——没飞远，撞在UPS散热风扇上，叶片转了两圈，纸飞机卷边散开。现在想想，我们当年真该留一台开着8080的测试机，就让它天天被扫描、被探测、被反复试探。不为别的，就为了看看——到底哪些错误日志会先冒泡，哪些指标会在告警之前悄悄飘绿。可惜啊，没人干这事。我们都太急着关端口，急着清缓存，急着写应急预案，却忘了：真正的护航，是从允许自己偶尔失效开始的。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!