shuaishuaide

现在阿里和腾讯不是都有可持续续费的 99 元/年的轻量云吗？访问量不大的话，那个完全够了

搭建服务器的第一天我就发现了这个问题，甚至有一次已经被异常登录了。我目前的服务器已经不在公网开放 22/3389 端口，都是使用 sdwan 类软件进行虚拟组网，然后用内网 IP 进行登录管理。

我之前尝试过只对本省 IP 开放访问权限，后来发现，只开放本省也不安全，也会有一些本省 IP 来尝试进行爆破。

至于改端口、使用秘钥认证，都太麻烦了，我目前的方式我认为已经足够安全了。

@NewYear 还有一点，假设国内会伪造证书进行劫持，国外又怎么会是白莲花？目前 Chrome 浏览器用的是比较多的，如果美国或者五眼联盟想要劫持你，然后让 Google 闭嘴，那不是风险更大？国产证书至少有 Google 、Mozilla 基金会这类国际组织盯着。当 Google 主动/协助作恶时，谁又来监督呢？

@ShareDuck 我没经历过那个事件，只是道听途说。事件发生之后我才开始用沃通签发证书，验证方式和现在一样，dns 和 http 。我也在想，这件事的发生，github 就没有责任吗？例如 github 并没有做域名过滤，放任“_acme-challenge.github.io”这类域名随意注册和解析，那么证书误签发这件事确实怪不到沃通头上。

@ajaxfunction 你要不要注意一下时间线？误签发证书是什么时候？ 360 入股是什么时候？不要用后来发生的事情作为之前发生的事情的原因。他们难道会穿越？

另外沃通对于证书的验证方式，在我看来并无不妥，现在 let's encrypt 的证书签发验证方式是将二级域名的 TXT 记录解析到特定字符即可完成验证，比如“_acme-challenge.v2ex.com”。如果 github 完全开放注册二级域名，如果有人注册了“_acme-challenge.github.io”，那么就可以签发“github.io”和“*.github.io”的域名证书。是 github 自己不注意进行域名过滤造成的问题，怎么倒怪到沃通头上了？提供二级域名注册的服务厂商多了去了，怎么就 github 被误签发了？

@SURA907 我认为凡是被审计过证明可信的，就没有问题。别总拿沃通说事，沃通怎么了？根证书泄露了？伪造证书搞中间人攻击了？国外被取消信任的证书颁发机构还少吗？最有名的就是赛门铁克。企业的问题，不要上升到国家。赛门铁克是美国的，美国的 CA 是不是也不能用了？

为什么不考虑试用一下国产，比如小米 mimo ？我试用过了，至少做一些简单脚本时，做的完成度很高，比 ChatGPT 要强得多。其他国产也可以考虑一下阿里千问。