U2Secure — Linux 服务器安全加固 CLI 工具

面向 Linux 运维人员的交互式安全加固工具。运行一次即可完成从系统更新、用户创建、SSH 深度加固、防火墙、入侵防御、审计到自动更新的完整安全基线建设。

目录

• 概述
• 快速开始
• 功能详解
  • Step 0：环境审计
  • Step 1 ~ Step 12：加固步骤
• 安全回退机制
• 常见问题

概述

设计目标

• 首次运行自动审计系统当前安全状态，对已加固项目标记"安全可靠"（幂等）
• 向导式交互（dialoguer 多选/输入/确认），每步执行前检测状态，不重复配置
• 所有系统修改前自动备份，Ctrl+C 中断或步骤失败时自动回退

适用范围

项目结构

src/
├── main.rs                 # 入口：初始化信号处理器，启动 CLI
├── domain/                 # 领域层（零外部依赖）
│   ├── audit.rs            # AuditReport（审计报告实体）、AuditStatus、PackageManager
│   ├── steps.rs            # StepKind、HardeningStep trait、ExecuteParams、SshKeyAction
│   ├── errors.rs           # DomainError
│   └── undo.rs             # UndoAction（可撤销操作值对象）
├── application/            # 应用层
│   ├── orchestrator.rs     # HardeningOrchestrator：编排审计→选择→执行→回退
│   └── steps.rs            # 12 个步骤的具体实现
├── infrastructure/         # 基础设施
│   ├── system.rs           # 系统命令执行、配置解析、用户管理、密钥管理
│   ├── logger.rs           # 日志记录（含公钥脱敏）
│   └── rollback.rs         # 回退管理器：全局 undo 栈 + Ctrl+C 信号处理
└── presentation/           # 表示层
    └── cli.rs              # dialoguer 交互式 CLI：审计渲染、步骤选择、参数收集

快速开始

安装

# github克隆并编译
git clone <repo-url> u2secure
cd u2secure
cargo build --release

# 二进制位于 target/release/u2secure
sudo cp target/release/u2secure /usr/local/bin/

# crates.io方式(推荐)
cargo install u2secure --locked

运行

sudo u2secure

首次运行会自动执行环境审计并展示报告，然后通过向导选择要执行的加固步骤。

完整示例

以下是一次典型运行过程（从审计到加固完成）：

# 1. 以 root 运行
$ sudo u2secure

# 2. 自动输出环境审计报告（只读）
# ──────────────────────────────────────────────
# ✅ 当前用户权限: 已以 root 运行
# ✅ 包管理器: 检测到 apt
# ❌ SSH 端口: 默认端口 22
# ❌ 密码登录: 密码登录未禁用
# ❌ root 登录: root 登录未禁止
# ❌ sudo 用户: 未检测到非 root 管理用户
# ❌ Fail2ban: 未安装
# ❌ UFW 防火墙: 未启用
# ❌ 自动安全更新: 未启用
# 🔄 系统更新状态: 缓存已过期
# ──────────────────────────────────────────────

# 3. 选择要执行的步骤（默认勾选未配置项）
# 4. 交互式输入参数（用户名、端口、密钥等）
# 5. 自动执行并输出总结报告

功能详解

Step 0：环境审计

运行任何修改前，工具会只读扫描系统，输出"当前安全状态报告"。检测项包括：

Step 1 ~ Step 12：加固步骤

步骤 2 详解：非 root 用户创建

# 工具内部实际执行的命令序列：
useradd -m -s /bin/bash deploy          # 创建用户
usermod -aG sudo deploy                 # 加入 sudo 组
passwd -l deploy                        # 锁定密码（强制密钥登录）
ssh-keygen -t ed25519 -f /home/deploy/.ssh/id_ed25519 -N "" -q  # 生成密钥
chmod 600 /home/deploy/.ssh/authorized_keys  # 权限修正
chown -R deploy:deploy /home/deploy/.ssh/

步骤 4 详解：SSH 端口修改

# 工具内部逻辑：
# 1. 读取当前端口（默认 22）
# 2. 随机生成建议端口（1024-65535，避开常见服务端口）
# 3. 用户确认或输入新端口
# 4. 备份 /etc/ssh/sshd_config → /etc/ssh/sshd_config.bak.{时间戳}
# 5. 写入 Port {新端口}
# 6. 如果 UFW 已启用，执行 ufw allow {新端口}

步骤 6 详解：ED25519 密钥设置

# 选项 A：生成新密钥对
ssh-keygen -t ed25519 -f /home/{user}/.ssh/id_ed25519 -N "" -q

# 选项 B：粘贴已有公钥
echo "{公钥内容}" >> /home/{user}/.ssh/authorized_keys
chmod 600 /home/{user}/.ssh/authorized_keys
chown {user}:{user} /home/{user}/.ssh/authorized_keys

安全回退机制

触发条件

回退过程

回退按 后进先出（LIFO） 顺序执行。例如，如果用户依次执行了"创建用户"→"修改 SSH 端口"→"启用 UFW"，回退顺序为：

1. 关闭 UFW（如果之前未启用）
2. 删除 UFW 端口放行规则
3. 从备份恢复 sshd_config（撤销端口修改）
4. 删除用户

每个回退操作输出到 stderr：

  ⮐  恢复 sshd_config（Port）
  ⮐  停止 unattended-upgrades 服务
  ⮐  删除 unattended-upgrades

备份文件位置

修改 sshd_config 前自动备份到 /etc/ssh/sshd_config.bak.{YYYYMMDDHHMMSS}。回退时自动恢复备份并清理备份文件。

日志

所有操作记录到 /var/log/secure-init.log（不可用时 fallback 到 ./secure-init.log）。日志中公钥内容自动脱敏（仅显示指纹或截断内容）。

常见问题

Q：必须以 root 运行吗？

是的。审计阶段会检测 UID，非 root 用户直接退出。大部分操作（安装包、修改 sshd_config、管理用户、配置防火墙）均需要 root 权限。

Q：遇到 sshd_config 语法错误 怎么办？

SSH 相关步骤在修改配置后会自动执行 sshd -t 验证语法。如验证失败，不会重启 SSH 服务，保护当前连接。备份文件位于 /etc/ssh/sshd_config.bak.*，可手动恢复：

# 查找最新备份
ls -t /etc/ssh/sshd_config.bak.* | head -1 | xargs -I{} cp {} /etc/ssh/sshd_config
systemctl restart sshd

Q：密钥生成时提示 私钥无密码短语保护？

工具默认生成空密码的 ED25519 密钥（-N ""），方便自动化部署。如需密码短语保护：

ssh-keygen -p -f ~/.ssh/id_ed25519   # 之后设置密码

Q：我手动修改了配置，工具会覆盖吗？

不会。每个步骤执行前会检测当前状态。例如 Step 3（禁止 root SSH 登录）检测到 PermitRootLogin 已设置为 no 或 prohibit-password 时，会标记为"✅ 已安全配置"并默认跳过。但用户可以在步骤选择界面主动勾选来重新执行覆盖。

Q：Deiban 以外的发行版支持情况？

Q：中断后如何确认系统状态？

# 查看操作日志
cat /var/log/secure-init.log

# 检查 SSH 配置是否被修改过
diff /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.*

# 检查用户是否被创建
getent group sudo

# 检查 UFW 状态
ufw status

许可证

MIT © 2026 u2secure

本软件按 MIT 许可证开源。使用时需保留版权声明和许可声明。