|
跳板机相信在**的朋友应该早就不陌生了，他的目的无非就是提高安全性，当然有些时候安全和速度是互斥的，需要综合自己的实际情况做出最合适自己的选择，为什么小丫要今天要来跟大家谈跳板机安全性问题呢？ 让我们来看看这两篇文章： 俗话说会攻才会防，知彼知己，百战不殆，如果你嫌本文长或者对安全不在乎的话，可以直接关掉本页面，接下来本文将深入解析跳板机上的攻防，长话短说让我们直接送上满满的干货，希望能对各位有所帮助。
一。跳板机系统选择 建议大家使用目前最新版Windows Server 2019，因为相对老版本来说已曝光出来的漏洞最新版最少；当然如果你是一位很熟悉Linux的站长，那可以直接用SSH隧道建立跳板，全程用SSH Terminal来操作你的真实服务器，然后浏览器也用SSH隧道做代理，那小丫也服。
二。跳板机应用软件操作规范 尽量不要在跳板机上安装不知名的软件，或是破解软件，能用开源程序尽量用开源程序，实在没有开源退而求其次社区免费版，再没有再考虑付费购买正式版；另外切忌一定不要在跳板机上安装任何国产软件或者中资背景的软件（包括输入法），原因很简单就是这些软件会搜集你的用户使用行为记录（包括IP）然后上传到他们服务器去，不排除jc会有后台可以直接查阅这些记录。
三。跳板机修改掉3389端口 一般机房拿来的Windows机器，都是远程桌面3389默认端口，别傻乎乎直接用！一定要修改成其他端口，因为在互联网上有太多端口扫描机24小时不分昼夜的扫漏洞，建议换成10000以上大端口，记得同时要修改Windows防火墙启用新TCP端口，以免重启后就连不上就尴尬了，修改端口和防火墙的方法可以在网上搜到很多教程这里就不再阐述了。
四。跳板机上浏览器注意事项
1.敏感网站使用Tor访问
访问任何敏感网站（包括访问其他友站）都建议使用Tor（洋葱）浏览器 曾经黑客透过Tor偷偷下载美国总统候选人希拉里的邮件，具体可以参见“希拉里邮件门”，然后散播出来害希拉里败选特朗普，至今CIA也没追查到那位黑客，可见Tor的隐蔽性安全性是有多高。 小丫并且建议把网桥打开，定期更换网桥，因为你不知道你的跳板机所在的网络提供商是否有钓鱼蜜罐Tor节点。
2.常规一般网站使用Firefox访问 不过小丫觉得这种这种测试网站都模糊了焦点，其实作为X站的站长要关心的是运营商是否知道我经常在查某个DNS的域名，假设我是jc现在要来查abcd.com是谁搞的，直接调阅国内公共DNS 100%是记录了好几年的所有查询记录，只要找到谁经常查abcd.com和最早查abcd.com这个域名的IP，然后去运营商查询路由记录确定再那个时间段是属于谁名下的，一查一个准。 那么问题来了，有些朋友以为挂了ssr或者v2ray，然后给浏览器套一个代理就可以神不知鬼不觉，如果你也是这么想的就相当危险！！！因为电脑上的所有软件的DNS查询都是会通过本地ISP运营商所提供的DNS Server交换数据，除非你用的是支持DoH和DoT功能的浏览器就会加密传输你的DNS查询，又除非你是开着喂匹恩全局代理了系统的所有流量包括DNS查询，这样你的DNS查询记录就不会出现本地运营商手里。 许多朋友喜欢用Chrome，首先Chrome并不是开源的，它只是个拥有开源Chromium 99%的代码，商业公司就说明一定是会以盈利为目的，都不是以隐私和安全作为首要目标，Chrome浏览器目前不支持DoH功能，所以建议各位9c的站长访问常规网站建议使用带有DoH功能的Firefox浏览器，记得不要下载国内版火狐，最建议下英文版本，如果英文不熟悉者也可以下载繁体中文版。Firefox繁体中文下载地址 Firefox安装好之后默认是未开启DoH的，DoH功能需要手动启用，它可以有效的防止DNS泄露以及DNS污染问题，如何启用DoH
3.禁用WebRTC WebRTC是一套支持网页浏览器进行实时语音对话或视频对话的API。它于2011年6月1日开源并在Google、Mozilla、Opera支持下被纳入万维网联盟的W3C推荐标准 2015年，TorrentFreak报告了一个WebRTC的安全漏洞，该漏洞会致使安装有WebRTC的用户泄露真实IP，即使用户已经使用喂匹恩仍然可以暴露真实IP。参考链接 另外基本上使用这个技术的把它用在原本的用途（语音视频对话）的网站很少，现阶段一般在用到WebRTC的场景都是想要获取用户本地真实IP，浏览器默认又是启用的，所以请立即禁用它。 不会如何禁用的9c朋友可以去Google搜：disable webrtc，有大量如何禁用教程，本文就不阐述了。
4.千万不要在跳板机上访问国内网站 不要在跳板机上访问国内网站，更不要去登录国内账号！！！因为国内账号一般都是实名制的，你只要登录过一次国内网站那个跳板机的出口IP就GG了，jc就可以通过他们内部后台通过原本可疑的IP而查询到同一个IP也曾经登录过国内账号，就可以跨区域查水表了。。。
五。跳板机的机房&地区的选择 对跳板机的使用体验如果想要效果最佳的话，强烈建议选择香港的跳板机，硬件配置也不用太高4核8G内存一般就完全足够了，带宽有10Mbps都够，最重要的是低延迟要在1~24ms以内，主要是网络到大陆有做路由优化带宽才好，操作才能流畅。 所以用香港的喂匹恩去连香港的跳板机，体验best。 有些朋友可能不是很清楚“延迟”和“带宽”的含义，小丫举个形象的例子： 有一批口罩要从中国运往美国 有两个选择：海运 和 空运 空运只需要10多个小时，一次只能放1~2个集装箱体积的货物，则相当于是“小带宽低延迟”。 海运需要15天~25天时间，但是一次可以拖几千个集装箱，海运就相当于是“大带宽高延迟”。 为什么说跳板机延迟最重要呢？因为你每在跳板机上点击一次鼠标或者按下一个按钮，都会在心理预期屏幕上有所反应，如果每一个I/O操作都要卡（等）上一段时间，那就说明延迟很大，体验就相当差，非常影响心情，更影响工作效率，真正IPLC专线线路的低延迟是能够让你操作跳板机像操作本地机器一样的快捷，如果你有遇到此类问题不妨在这部分下点工夫。
1.最下下策（很卡也不安全但便宜）的选择 购买美国的廉价机房的单IP机器作为跳板机，然后在国内直连它IP。 因为光速的限制（光速一秒钟只能绕地球赤道7.5圈），理论最短时间从中国到美国的往返也要赤道一周，理论速度都要延迟将要133ms，现实可能还要乘以1.5倍了，简直卡成马了。
2.稍微安全点（很卡较安全）的选择 购买美国的双（多）IP机器作为跳板机，然后在国内直连（入IP）进行远程操作。 假设你在北京，你的源站真实IP是在美国，中间将经过2跳：
北京宽带 → 美国(跳板IP入) → 美国(跳板IP出) → 美国源站IP 还是不推荐使用美国的机器做跳板机，同等价位的或者贵一些的，可以考虑新加坡、日本、台湾的。
3.稍微快点也不失安全（比较贵）的选择 购买香港的CN2 GIA多IP机器作为跳板机，然后在国内直连（入IP）进行远程操作。 假设你在北京，你的源站真实IP是在美国，中间将经过2跳：
北京宽带 → 香港(跳板IP入) → 香港(跳板IP出) → 美国源站IP
4.最奢侈（最贵）的选择 就是直接购买有提供IPLC的香港跳板机，专线带宽费用大概200~300元/1Mbps，再加上深圳和香港两台机器的租金，就算只买10Mbps每月要花费好几千/月；然后在国内直连（入IP通常在国内）进行远程操作。 假设你在北京，你的源站真实IP是在美国，中间将经过2跳：
北京宽带 → 深圳(跳板IP入) → 香港(跳板IP出) → 美国源站IP
5.推荐的最经济选择 本地电脑开着IPLC专线喂匹恩 ，使用香港IPLC节点，然后租一个香港的国际带宽（不需要针对中国大陆路由优化）的双IP机器做跳板机。 假设你在北京，你的源站真实IP是在美国，中间将经过4跳：
北京宽带 → 深圳( 喂匹恩 IP入) → 香港(喂匹恩 IP出) → 香港(跳板IP入) → 香港(跳板IP出) → 美国源站IP 跳数越多越不容易被追查到，而且速度也跟第4种一样快，IPLC专线喂匹恩 价格也相当便宜20元/月，香港国际带宽的跳板机也不贵，$20~$50/月就搞定了
六。结语 有些人追求做事情100%合格，100件事情有99件事情做对了，只有一件事情没有做对，但这一件事就有相当一部分人做到了99%，就差1%，但就是这点细微的区别使他们在事业上很难取得突破和成功。如果以上文章说的哪些地方不正确的或者有遗漏点，或者有疑问希望跟小丫讨论的，欢迎留言批评指正或者私聊小丫电报账号；最后感谢狮子大佬提供此交流平台让我结识各位大佬。
| 
发表于 2020-6-17 10:12:37
楼主
发表于 2022-4-19 15:45:22