云主机上部署网站服务器的经验浅谈

阜新市大数据管理中心 刘 沛

随着计算机行业的迅速发展，存储更大、速度更快、更加节能的云服务器逐渐取代了传统的服务器，本文从笔者的经验出发，对如何在云服务器上部署一个安全的网站环境进行了阐述。

1 网站的分类

网站大致分为八类，包括：企业标准网站、品牌官网、营销型网站、B2C商城、B2B平台、O2O平台、门户分类信息型网站、微信官网，本文主要围绕企业标准网站的构建实例，展开网站服务器部署经验的探讨。

2 网站安全部署

2.1 建站

本文以某门户网站Y站为例（统称Y站），简要概述构建网站的过程。Y站的开发语言为asp，java等，包括前台和后台两个部分，前台部分负责信息的显示以及客户端访问的一些功能，后台部分主要负责数据的管理、审计、统计等、数据库为sql2008版本，操作系统为windows2003，运行环境为iis。在云平台上建立三个虚拟机，分别为虚拟主机A、虚拟主机B、虚拟数据库服务器C（简称虚机A、虚机B、虚机C）。

将Y站的前台布置在虚机A上（包括网页、css样式、jscript脚本等文件）、将网站的前台和后台同时部署在虚机B上（包括网页、css样式、jscript脚本等文件以及后台管理系统）、将数据库布置在虚机C上，将虚机B视为源服务器，虚机A视为开放服务器，每个虚机都有一个固定的IP地址，通过这个IP地址，处在同一个局域网内的用户可以浏览各个主机，同时虚机B与虚机C，外网用户无浏览权限。

2.2 服务器环境的构建

（1）防篡改系统原理及其选择

网页防篡改系统是保护网站免遭黑客篡改的安全防护软件，是网站安全防护体系中不可或缺的组成部分。网页防篡改系统通过监测网页完整性的变化，通过对篡改行为的实时拦截或自动恢复被篡改的内容来实现对网页完整性的保护。因此，也可以称得上是网站安全防护体系中的最后一道防线。

对待发布的网页进行内容审查，禁止发布包含不当信息的网页。对每个合法网页给与一个身份认证标识——数字水印。只有拥有正确的数字水印的网页才能被正常访问。

防篡改软件具备文件锁、数字水印比对、同步数据、恢复数据、禁止webshell产生（webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。使用方法简单，只需上传一个代码文件，通过网址访问，便可进行很多日常操作，极大地方便了使用者对网站和服务器的管理。正因如此，也有小部分人将代码修改后当作后门程序使用，以达到控制网站服务器的目的）的功能。

在实例中，笔者选择的防篡改软件为Ilocker（文件锁系统）与iguard（数字水印比对同步系统），Ilocker主要锁定虚机B的网站根目录以及与服务器安全相关的重要目录和部分软件，避免来自局域网内的攻击，igurard同时锁定虚机A、虚机B的网站根目录，通过数字水印比对技术与文件同步技术，实时将数据从虚机B恢复至虚机A上。

（2）服务器部署与设置

虚机B设为主服务器，虚机A通过防篡改软件实时同步虚机B上的数据。如图1所示。

图1 网站服务器部署图

虚机B对数据库有写入与读取的权限，虚机A对数据库只有读取权限。虚机A、B、C有一个布置在云服务器上的虚拟路由器连接到主路由器上，通过域名服务器，将虚机A、B、C各自IP统一解析成为一个外网IP地址，经过防火墙设备连接到互联网上。

在DNS服务器上的设置，通过修改ha.cfg（自建DNS服务器中的操作文件，修改文件可以控制个别IP的访问规则，是否可以通过外网访问唯一指定的虚拟机，并进行相应的操作）文件，将虚机A的IP设置为允许双向访问，虚机B与虚机C定义为不允许外网访问。虚机B与虚机C也可以通过系统自带防火墙关闭一些操作端口，例如8399端口，远程桌面控制端口等等，总之充分利用安全软件，系统自带防火墙等工具，尽量多的设置一些禁用规则，最大限度保证源服务器与数据库服务器的安全性。无论选择何种操作系统，主要的防御思路是不变的，我们不考虑系统本身的安全性能的优劣，因为我们面对的是集约化的管理思路，各种服务器、操作系统等配置要求都是由客户提出的，我们应该将注意力由系统移至网络通讯上，保证源服务器安全的同时，最大限度的杜绝一切来自互联网、局域网内的网络威胁。

（3）域名解析服务器DNS的部署

网站集约化管理理念的提出，势必会让服务器承载更多的网站，每个网站都需要有独立的域名，将众多的域名全部托管，显然是不安全的，域名解析服务器正好解决了这个问题，DNS（Domain Name Server，域名服务器）是进行域名（domain name）和与之相对应的IP地址（IP address）转换的服务器。DNS中保存了一张域名（domain name）和与之相对应的IP地址（IP address）的表，以解析消息的域名。域名是Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位（有时也指地理位置）。域名是由一串用点分隔的名字组成的，通常包含组织名，而且始终包括两到三个字母的后缀，以指明组织的类型或该域所在的国家或地区，在局域网内构建一个独立的域名解析服务器，部署在主路由器与外网防火墙之间，通过内部指派，将域名分别指派给各个服务器，互联网接口统一一个IP地址，不仅方便管理，还大大增加了虚拟服务器的安全性，解析效率也得到了提升。

3 网站浏览过程以及安全原理的解析

一个完整的网站包括静态网页、动态网页、jscript文件、css样式文件等，静态网页的安全性相对于动态网页要高一些，有些网站，就利用静态网页安全性优与动态网页的特点，后台操作系统录入信息后，直接利用脚本程序生成静态的扩展名为html的网页文件，而动态网页的安全性要大打折扣，网页的数据是通过asp、java、php等开发语句，调用数据库服务器的数据来实时显示的，而css样式文件，主要是控制网页的版式。按照浏览器的浏览优先级别，当用户在地址栏中输入域名的时候，客户端直接将css、jscript文件下载到缓存中，网页上优先显示实时更新的数据，然后才是加载css与jscript文件，当网速缓慢的时候，打开的网页版式错乱，这就是没有来得及加载css文件的结果。

实例中，当客户端通过互联网浏览Y站时，通过域名服务器，将这个请求直接指向虚机A上，登录虚机A，使用前端的一些可视化工具，客户可以浏览网站信息以及使用网站其它的附加功能，通过设置DNS服务器，使互联网的用户无法浏览虚机B。网站管理人员，可以通过局域网或者在互联网通过vpn账号（vpn虚拟专用网络，其功能是：在公用网络上建立专用网络，进行加密通讯。在企业网络中有广泛应用。VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。VPN可通过服务器、硬件、软件等多种方式实现。）登录虚机B，通过网站后台管理系统对网站进行管理。录入的数据直接写入虚机C的数据库。简单的说，就是虚机A可以被看作是虚机B的一个映射，及时同步虚机B上的数据，但却不能通过登录虚机A对数据库服务器C进行操作。如果入侵者想通过互联网攻击Y站，只能直接攻击虚机A，将服务器上的网页、css样式等文件通过渗透手段进行篡改，当篡改成功后，由于虚机A、B上同时安装了防篡改软件，虚机B的数据会立即恢复至虚机A上，并且虚机A对数据库服务器C没有修改的权限，不仅保证了网站维护人员对网站的正常维护，又保证了互联网用户可以随时浏览到Y站正确的网站信息。

结论：随着互联网技术已经伴生产业的飞速发展、通过传统的防御手段，例如：在服务器上安装杀毒软件、限制服务器的浏览权限等已经很难抵御网络上的暴力攻击，笔者通过部署主、副两个服务器，利用防篡改软件系统，大大提高了网站服务器数据以及网页的安全性，希望能够丰富网站服务器部署安全策略的思路。