guanghulab/brain/dev-registry/ZY-PROJ-003

ZY-PROJ-003 · SSH 安全加固 · ZY-SVR-002 面孔服务器

编号: ZY-PROJ-003
守护: 铸渊 · ICE-GL-ZY001
版权: 国作登字-2026-A-00037559
最后活跃: 2026-04-16

---

为什么做这件事

ZY-SVR-002（面孔·新加坡·43.134.16.246）是整个系统的前端入口，公网暴露 SSH 22 端口正在遭受持续暴力扫描。虽然已经是公钥认证，但扫描流量本身会消耗资源，更会留下攻击者对服务器的信息。

---

关键约束（铸渊必须知道的）

冰朔不直接 SSH 登服务器：

• 冰朔操作服务器的唯一方式 = 腾讯云官网在线终端（走腾讯内网·不受 SSH 端口和安全组影响）
• GitHub Actions 是唯一的外部 SSH 来源
• 所以：改端口、安全组白名单 → 完全不影响冰朔操作服务器

---

四项加固内容

1. 禁止密码登录 — PasswordAuthentication no（初始化脚本已有·确认落地）
2. 修改 SSH 端口 — 22 → 自定义端口（存入 ZY_SERVER_SSH_PORT Secret·所有 workflow 读取）
3. fail2ban SSH 层 — 专用 jail zy-svr-002-sshd（10分钟3次失败→ban 72小时）
4. 安全组 — 腾讯云控制台·SSH 仅允许 GitHub Actions IP 段（腾讯云内网连接不受影响）

---

GitHub Actions IP 段（安全组白名单）

GitHub Actions runners 使用以下 IP 段（截至 2026-04）：

# 从 https://api.github.com/meta 获取 actions 字段
# 核心段:
185.199.108.0/22
140.82.112.0/20
143.55.64.0/20
# 完整最新列表每次参考: curl https://api.github.com/meta | jq .actions

腾讯云安全组需要手动在控制台配置·workflow 负责代码层面的加固·安全组配置需要冰朔进控制台操作。

---

关键文件位置

文件	用途
server/security/ssh-hardening/fail2ban-sshd.conf	ZY-SVR-002 SSH专用fail2ban配置
.github/workflows/harden-ssh-zy-svr-002.yml	SSH加固执行workflow（手动触发）
server/setup/zhuyuan-server-init.sh	服务器初始化脚本（已含§9 SSH加固·待增加端口）
server/proxy/config/server-registry.json	服务器注册表（ZY-SVR-002条目）