服务器突然被海量陌生IP“查户口”？别慌，教你几招硬核防御

早上起来看日志，心态崩了？

日志被陌生IP刷屏时的心态崩溃现场

相信很多手里攥着几台VPS的朋友都有过类似的经历：早晨打开面板，或者习惯性地看一眼Nginx/Apache的访问日志，瞬间傻眼。

原本干净的日志里，突然多了成千上万行来自陌生IP的请求。不管你的站点是个人的小博客，还是刚上线的测试项目，这些“不请自来”的流量就像是有人拿着大喇叭在你家门口喊话，虽然不一定能破门而入，但看着确实让人心烦。

最近就有朋友吐槽，CPA（可能指代某个具体项目或域名）的请求日志里全是陌生IP，而且是“写不完，根本写不完”。

这到底是怎么回事？是被黑客盯上了吗？还是哪里配置出了问题？

一、这些IP到底想干嘛？

首先，别慌，这通常不是针对你个人的精准打击。

互联网上存在大量的自动化扫描脚本和僵尸网络。它们不分昼夜地在全球范围内扫描IP段，寻找存在漏洞的服务（比如未授权访问的Redis、弱口令的SSH、过旧版本的WordPress等）。

利用 awk 快速统计访问最多的IP

根据你提供的IP片段，我们可以发现一些端倪：

• 云服务商IP段：比如 20.65.x.x、165.22.x.x，这类IP通常归属于Azure或DigitalOcean等大厂。这很可能是其他被入侵的云服务器在充当“肉鸡”，自动对全网进行扫描。
• 宽带运营商IP：大量的 residential IP（家庭宽带），说明很多普通用户的设备可能中了木马，正悄无声息地参与这场“扫描大业”。

它们的目的很简单：广撒网，多敛鱼。只要漏进来一条“大鱼”（高危漏洞），对攻击者来说就是赚的。对你来说，这些请求虽然大多无效，但会占用带宽、耗损CPU，甚至把你的日志撑爆。

二、如何判断攻击强度？

在动手防御之前，先看看你的日志情况。

如果是单点试探，比如某个IP每秒请求一次，可能属于低烈度扫描。但如果是某个IP段在短时间内对单一接口发起高频请求，那就可能是cc攻击的征兆了。

排查命令拿走不谢：

利用 awk 快速统计访问最多的IP：

awk '{print $1}' access.log | sort | uniq -c | sort -nr | head -n 20

这行命令会列出访问次数最多的前20个IP。如果你看到某个IP的请求数量是个天文数字，那就必须得处理了。

三、硬核防御方案：从入门到放弃（放弃手动封禁）

面对这种“写不完”的IP列表，手动一个个加黑名单显然是不现实的。我们需要更自动化、更暴力的手段。

1. 奥卡姆剃刀：直接屏蔽非常用IP段

如果你的服务只面向国内用户，或者特定地区，直接在防火墙层面屏蔽海外流量是最省事的。

• 使用 GeoIP2 模块：Nginx 配合 GeoIP2 可以根据国家代码直接返回 403，连日志都不用记。
• 云厂商防火墙：阿里云、腾讯云等都有“地域封禁”功能，一键勾选不需要的地区，世界瞬间清静。

2. 进阶方案：Fail2Ban 自动拉黑

对于拥有服务器权限的朋友，Fail2Ban 是必装神器。它能监控日志文件，一旦发现某个IP在短时间内尝试失败次数过多（比如SSH密码输错、404页面瞎扫），就自动调用 iptables 把人封了。

简单配置思路：

创建一个针对 Nginx 扫描的 filter，检测那些频繁访问敏感路径（如 /admin, /wp-login.php, .env）的IP，设置 findtime（时间窗口）和 maxretry（最大重试次数），然后 bantime 设置为一天甚至一周。

3. 终极护盾：Cloudflare 或 CDN 隐身

这是最推荐给个人开发者和博主的方法。

不要把源站IP直接暴露在公网！把域名接入 Cloudflare（或者国内的CDN），开启“Under Attack Mode”（攻击模式）。

所有的流量先经过CDN的清洗，恶意扫描程序通常无法通过JS Challenge验证，直接被挡在源站之外。你看到的日志瞬间清爽，源站压力骤减。

四、遇到问题求助？先备好这几样

如果你发现自己的服务器已经出现了异常，哪怕只是单纯的被扫描，在社区求助时，记得准备好以下信息，大佬们才能帮你精准分析：

1. 脱敏后的日志片段：不要直接把 IP 发出来（虽然对于 IPv4 来说意义不大），但要把 User-Agent 和请求路径贴出来。有些扫描脚本的 UA 很有特征。
2. 服务器负载情况：CPU、内存、带宽占用图表。如果被扫了但负载为0，那基本就是“路过”而已。
3. 已尝试的措施：比如“我已经加了防火墙规则，但好像没生效”，这样别人才知道是该骂你规则写错了，还是该建议你换方案。

结语

服务器放公网，就像在闹市区开了个店。路人往里瞅两眼、甚至有人推门试试锁，这都是商业生态的一部分。只要你的大门足够结实（服务无漏洞），门口站了几个保安（防火墙/CDN），这些扫描动作就不足为惧。

下次再看到日志里那一长串陌生IP，别焦虑，那是互联网在对你进行“压力测试”。既然躲不过，就顺便把防御技能点亮吧！