Debian 环境下 Cobbler 的安全加固清单
一 基础加固
- 最小化暴露面：将 TFTP 仅在内网监听，限制 DHCP 作用域与租期，避免对外网开放；必要时将 cobblerd、httpd、tftpd 绑定到管理网接口。
- 强化系统访问控制：为 SSH 使用密钥登录、禁用 root 登录、更改默认端口；为管理网段配置 防火墙规则，仅放行必要端口（如 69/UDP TFTP、80/443 HTTP/HTTPS）。
- 服务与进程隔离：以 非 root 用户运行相关服务，按最小权限原则配置 sudo；对 /etc/cobbler、/var/lib/cobbler 设置 750 权限并限制属主属组。
- 安全更新与补丁：定期执行 apt update && apt full-upgrade，及时修补 Cobbler、Apache、DHCP/TFTP、Python 依赖 等组件漏洞。
- 日志与审计：启用并集中 Cobbler 日志（/var/log/cobbler/） 与系统日志，保留至少 30 天；对关键操作（镜像同步、配置变更、装机）设置审计与告警。
二 身份与引导安全
- 强口令与默认口令整改：使用 openssl passwd -1 生成强哈希，更新 /etc/cobbler/settings 中的 default_password_crypted，确保新装系统的 root 口令符合复杂度要求。
- Web 管理认证：若使用 cobbler-web，配置 /etc/cobbler/users.digest 或基于 PAM/Apache 认证 的强口令策略，禁用默认或弱口令账户。
- 引导访问控制：在 /etc/cobbler/pxe/pxedefault.template 等 PXE 模板中仅允许受控 MAC 白名单或特定标签的装机；必要时为 kickstart 增加 认证/授权 校验。
- 传输安全：为 Apache 启用 TLS/HTTPS，避免明文传输 kickstart、镜像元数据；将 next_server 指向受控内网地址，避免误指向外部网络。
三 网络与模板配置
- 正确设置核心参数：在 /etc/cobbler/settings 中将 server 与 next_server 设为 PXE 网段可达的本机 IP，避免 127.0.0.1 导致装机失败或引导劫持。
- DHCP 模板最小化：在 /etc/cobbler/dhcp.template 中仅开放必要选项（如 subnet、routers、range、filename “/pxelinux.0”、next-server $next_server），限制 动态-bootp 范围，避免全网可达。
- TFTP 安全：在 /etc/xinetd.d/tftp 中启用 only_from 限制来源网段，保持 disable = no 仅在内网提供文件分发。
- 引导文件完整性：定期执行 cobbler get-loaders 更新 /var/lib/cobbler/loaders（如 pxelinux.0、menu.c32、grub/efi 等），确保引导链不被篡改。
- 变更生效：每次修改模板或配置后执行 cobbler sync，使 DHCP/TFTP 等配置落盘并分发。
四 审计监控与备份
- 日志集中与留存：持续收集 /var/log/cobbler/cobbler.log、/var/log/cobbler/installing 与 journalctl -u cobblerd 输出，设置 logrotate 保留策略与远程日志转发。
- 异常检测：对 失败登录、非法装机请求、配置频繁变更 建立基线告警；定期审计 /var/www/cobbler/ 下镜像与 repo_mirror 的完整性。
- 配置与镜像备份：定期备份 /etc/cobbler 与 /var/lib/cobbler，并进行 异地/加密 存储；在变更前执行快照或备份，变更后用 cobbler check 与 cobbler sync 校验。
五 快速核查命令清单
- 查看与加固服务状态：
- 查看状态：systemctl status cobblerd httpd tftpd xinetd
- 开机自启：systemctl enable cobblerd httpd tftpd xinetd
- 配置与引导校验：
- 检查配置：cobbler check
- 同步分发：cobbler sync
- 更新引导：cobbler get-loaders
- 日志与审计：
- 实时查看：journalctl -u cobblerd -f
- 安装日志：tail -f /var/log/cobbler/installing
- 主日志：tail -f /var/log/cobbler/cobbler.log
- 安全核查要点：
- 确认 server/next_server 为内网 IP
- 确认 /etc/xinetd.d/tftp 仅允许内网 only_from
- 确认 /etc/cobbler/dhcp.template 范围与 next-server 正确
- 确认 /etc/cobbler/users.digest 或 Web 认证已启用强口令
