服务器概览
这是一台运行于云上的轻量自托管服务器，承载着统一入口的 Web 平台、自托管消息推送，以及经由加密隧道访问的内部服务。通过 Nginx 反向代理与自动签发的 TLS 证书对外提供服务，安全基线遵循最小化暴露原则：默认拒绝入站、仅密钥登录、异常流量自动封禁。
系统数据加载中...
Nginx 反向代理
Nginx作为统一入口，将各域名的HTTPS流量分别代理至后端服务。所有站点均配置了HTTP→HTTPS强制跳转、TLS 1.2/1.3协议与安全响应头（HSTS、X-Frame-Options等），关键链路启用OCSP Stapling与gzip压缩。面向公网的域名之外，其余内部服务仅监听本地回环地址。
FRP 内网穿透
FRP（Fast Reverse Proxy）是本架构的核心组件。云服务器运行frps服务端，受信任网络的frpc客户端经加密隧道将指定内部服务映射至公网，实现"服务在内网、入口在云端"的零暴露架构。
配置启用了Token鉴权与TCP多路复用，在保证安全性的同时优化连接性能。管理面板仅监听本地回环地址，不对公网开放。
ntfy 消息推送
ntfy是一个轻量级的自托管推送通知服务。通过简单的HTTP API即可向订阅者发送消息，支持WebSocket与SSE实时推送。本服务器的ntfy实例仅监听本地回环地址，经Nginx反向代理后通过ntfy.iotra.art对外提供HTTPS服务。
安全策略遵循最小权限：默认拒绝匿名访问，写入需令牌鉴权，读取按主题独立授权（ACL），敏感主题仅对授权用户可见。缓存时长48小时。
SSL 证书管理
全站证书均采用ECDSA密钥算法，相比RSA拥有更小的密钥尺寸与更快的握手速度。Certbot配置了自动续期，并在续期成功后自动重载Nginx使新证书即时生效，到期前30天将自动触发续签流程。
防火墙安全
UFW（Uncomplicated Firewall）以默认拒绝入站、允许出站的策略运行，仅放行必要端口；管理面板与内部服务全部收敛至本地回环地址，不直接面对公网。SSH仅接受密钥登录，并配合fail2ban对异常认证来源自动封禁。所有规则同时配置了IPv4与IPv6版本。
端口与服务映射
| 暴露面 | 绑定策略 | 用途 |
|---|---|---|
| 80 / 443 | 公网（Nginx） | Web 统一入口，HTTP 强制跳转 HTTPS |
| SSH | 公网（加固） | 远程管理 · 仅密钥登录 · fail2ban |
| 隧道 | 公网（鉴权） | 加密隧道接入 · Token 认证 |
| 其余全部 | 127.0.0.1 | 管理面板 · 后端服务 · 数据库均绑定回环 |
公网仅保留统一入口与必需通道，且每个入口都有独立认证层；其余服务一律绑定本地回环，需经 SSH 隧道访问。
运行服务清单
| 服务名称 | 描述 | 状态 |
|---|---|---|
| nginx | 高性能Web服务器与反向代理 | ACTIVE |
| frps | FRP 内网穿透服务端 | ACTIVE |
| ntfy | 自托管推送通知服务 | ACTIVE |
| ssh | OpenSSH 安全远程登录（仅密钥） | ACTIVE |
| fail2ban | 入侵防御 · 自动封禁异常来源 | ACTIVE |
| chrony | NTP 时间同步服务 | ACTIVE |
| cron | 定时任务调度器 | ACTIVE |
| systemd-networkd | 网络配置管理 | ACTIVE |
| systemd-resolved | DNS 解析服务 | ACTIVE |
| rsyslog | 系统日志服务 | ACTIVE |
| unattended-upgrades | 自动安全更新 | ACTIVE |
| tat_agent | 腾讯云自动化代理 | ACTIVE |
| fwupd | 固件更新守护进程 | ACTIVE |
| dbus | D-Bus 消息总线 | ACTIVE |
| polkit | 权限管理策略 | ACTIVE |
除Nginx、隧道网关、推送三大业务服务外，其余均为系统级守护进程与安全组件，保障服务器的基础运行环境。
*/5 * * * *
腾讯云 Stargate 代理健康检查
每5分钟执行一次，确保云平台管理通道可用