《Linux运维实战：Memcache安全配置》

超、凢脫俗 2022-10-11 00:41 131阅读 0赞

### 文章目录 ###

*  一、背景
 *  二、安全方案
 *   *  2.1、内网访问
     *  2.2、防火墙限制访问
 *  总结：整理不易，如果对你有帮助，可否点赞关注一下？

--------------------

# 一、背景 #

**memcache服务器是直接通过客户端连接后操作的，没有验证机制，如果是暴露在互联网上是非常危险的，轻则数据被查看，重则服务器被攻击，所以一定要做好memcache的安全机制。**

--------------------

# 二、安全方案 #

## 2.1、内网访问 ##

**最好把两台服务器之间的访问是内网形态的，一般是Web服务器跟Memcache服务器之间。普遍的服务器都是有两块网卡，一块指向互联网，一块指向内网，那么就让Web服务器通过内网的网卡来访问Memcache服务器，我们Memcache的服务器上启动的时候就监听内网的IP地址和端口，内网间的访问能够有效阻止其他非法的访问。**

**启动方式如下所示：**

memcached -d -m 1024 -u root -l 192.168.1.111 -p 11211 -c 1024 -P /tmp/memcached.pid

## 2.2、防火墙限制访问 ##

**防火墙是简单有效的方式，如果却是两台服务器都是挂在外网的，并且需要通过外网IP来访问Memcache的话，那么可以考虑使用防火墙或者代理程序来过滤非法访问。 一般我们在Linux下可以使用iptables或者FreeBSD下的ipfw来指定一些规则防止一些非法的访问，比如我们可以设置只允许我们的Web服务器来访问我们Memcache服务器，同时阻止其他的访问。**

[root@localhost ~]# vim /etc/sysconfig/iptables
    *filter
    :INPUT ACCEPT [0:0]
    :FORWARD ACCEPT [0:0]
    :OUTPUT ACCEPT [0:0]
    -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
    -A INPUT -p icmp -j ACCEPT
    -A INPUT -i lo -j ACCEPT
    -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
    -A INPUT -p tcp -m state --state NEW -m tcp -s 192.168.1.143 --dport 11211 -j ACCEPT
    -A INPUT -p tcp -m state --state NEW -m tcp -s 127.0.0.1 --dport 11211 -j ACCEPT
    -A INPUT -p tcp -m state --state NEW -m tcp --dport 11211 -j DROP
    -A INPUT -j REJECT --reject-with icmp-host-prohibited
    -A FORWARD -j REJECT --reject-with icmp-host-prohibited
    COMMIT

--------------------

# 总结：整理不易，如果对你有帮助，可否点赞关注一下？ #

**更多详细内容请参考：[Linux运维实战总结][Linux]**

[Linux]: https://blog.csdn.net/m0_37814112/category_10867749.html?spm=1001.2014.3001.5482