centos gitlab如何防攻击

在 CentOS 上部署的 GitLab 面临的主要安全风险包括：未授权访问、暴力破解、漏洞利用、DDoS、敏感信息泄露 等。下面从系统层、GitLab 层、网络层、运维层四个维度，给你一套可落地的防护方案。

一、系统与基础安全（CentOS）

1. 系统最小化 & 及时更新

# 更新系统
yum update -y

# 关闭不必要的服务
systemctl disable --now telnet postfix cups

2. 防火墙（firewalld / iptables）

只开放必要端口：

22（SSH，建议改端口）
80 / 443（GitLab）
不开放 8080、9090 等内部端口

firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --permanent --remove-port=8080/tcp
firewall-cmd --reload

3. SSH 防暴力破解

修改 SSH 端口
禁用 root 登录
使用密钥登录

vim /etc/ssh/sshd_config

Port 2222
PermitRootLogin no
PasswordAuthentication no

systemctl restart sshd

4. 安装 fail2ban

yum install epel-release -y
yum install fail2ban -y

保护 SSH 和 GitLab 登录：

[gitlab]
enabled = true
port = https,http
filter = gitlab
logpath = /var/log/gitlab/gitlab-rails/production.log
maxretry = 5

二、GitLab 自身安全配置

1. 强制 HTTPS

vim /etc/gitlab/gitlab.rb

external_url 'https://gitlab.example.com'
nginx['redirect_http_to_https'] = true

使用受信任证书（Let’s Encrypt 或企业证书）

2. 开启双因素认证（2FA）

管理员后台：

Admin → Settings → Sign-in restrictions
✅ Enforce 2FA

3. 限制注册 & 访问控制

关闭公开注册
限制 IP 访问
禁止公开项目（如不需要）

gitlab_rails['gitlab_signup_enabled'] = false

4. 强密码策略

gitlab_rails['password_authentication_enabled_for_web'] = true
gitlab_rails['password_min_length'] = 12

5. 关闭不必要的功能

Container Registry（不用就关）
Pages
Metrics（不要公网暴露）

registry_external_url 'disabled'
gitlab_pages['enable'] = false

三、网络与反向代理防护

1. 使用 Nginx + 限流（防爆破 / CC）

limit_req_zone $binary_remote_addr zone=gitlab:10m rate=10r/s;

location / {
    limit_req zone=gitlab burst=20 nodelay;
}

2. 使用 Cloudflare / WAF

隐藏真实 IP
防 DDoS
防常见 Web 攻击（SQLi、XSS）

3. 禁止公网访问内部端口

如：

9090（Prometheus）
8060（Health）
5432（PostgreSQL）

四、运维与监控

1. 定期升级 GitLab

yum update gitlab-ce -y

⚠️ 升级前备份

2. 定期备份

gitlab-rake gitlab:backup:create

并异地保存备份

3. 日志监控

重点监控：

登录失败
API 异常调用
管理员操作

/var/log/gitlab/gitlab-rails/production.log
/var/log/gitlab/nginx/gitlab_access.log

4. 使用审计功能

Admin → Audit Events

五、常见攻击 & 对应防护

攻击方式	防护措施
暴力破解	2FA + fail2ban
漏洞利用	及时升级
DDoS	Cloudflare / 限流
信息泄露	HTTPS + 权限控制
内部威胁	审计 + 最小权限

六、推荐安全基线（总结）

✅ 非 root + 密钥 SSH
✅ HTTPS + 2FA
✅ 防火墙 + fail2ban
✅ 不暴露内部端口
✅ 定期升级 + 备份
✅ 日志监控

如果你愿意，我可以：

给你一份 GitLab 安全加固 checklist
或针对 公网 / 内网 GitLab 给不同方案
或帮你 审查现有 gitlab.rb 配置

你目前的 GitLab 是 公网还是内网？版本多少？