Plesk / Cloudflare / Lightsail 混合架構的安全規劃

• Lightsail 是 Amazon 的雲產品之一，可以理解為簡化版的 AWS，Lightsail 裡面的服務有通用虛擬機、資料庫、IP、儲存空間、快照備份這些，它們在 AWS 也都有相對應的服務，但在 Lightsail 這邊提供的是設定與費率更為簡化的版本，雖然設定簡化了，但享用與 AWS 同樣強健的基礎架構，很適合做為 AWS 的入門。在下文我們以一台 IP 為 5.1.2.1 的虛擬機為例。
• Cloudflare 是以 DNS 與 CDN 服務為核心的公司，以核心服務為基礎拓展了一堆安全與遠端存取相關的系列服務，以及以 CDN 全球節點為基礎提供的媒體串流服務 Stream 與 serverless 服務 Workers 等，把原本無聊的 DNS 和 CDN 生意做的多采多姿，是本人的愛廠之一。
• Plesk 是伺服器管理系統，和比較多人知道的 cPanel 比起來毫不遜色，而且有和 Lightsail 合作的佛心版，或許是本人是先用過 Plesk 後才用 cPanel 的關係，一直較偏愛 Plesk，因此也造成了難以適應 cPanel 的後遺症 XD。

• 安全性要有，這是最基本的。
• 除了 80、443 以外的埠不要暴露，或者限定只給我的電腦訪問。
• Plesk 控制台要有網址入口，因為 IP 太難記，並且這個網址也限定只給我的電腦訪問。
• 主機的公共 IP 不要暴露。
• 防火牆盡量不要佔用到主機本身的資源，最大化 web app 本身能運用的運算資源以及節省主機費用。

用 Lightsail 防火牆做埠管理

• 80，HTTP 的標準埠，對外開放。
• 443，HTTPS 的標準埠，對外開放。
• 22，SSH 的埠，需限定連入 IP。
• 8443，Plesk web 控制台的入口，需限定連入 IP。
• 8447，Plesk Installer 的入口，變更 Plesk 元件或更新時會用到，需限定連入 IP。

用 Plesk 設定 Plesk 控制台的入口網址

• https://plesk.o.com/，這個網址目前是接受公眾訪問的，待會要讓它只能讓我的電腦訪問。
• https://5.1.2.1:8443/，這個入口受到 Lightsail 防火牆的管制，只接受我的電腦的訪問。
• https://5.1.2.1/ ，這個 IP 的入口目前並未受到管制，接受公眾訪問，待會利用 Cloudflare 的 proxy 來隱蔽此 IP，減少 IP 暴露的風險。

用 Cloudflare 的 proxy 和防火牆做 IP 隱蔽與網址訪問管理

總結

• 只公開必要的服務。
• 內部用的服務入口都有限定 IP。
• 主機 IP 不暴露。
• 不用主機的資源跑防火牆。
• Plesk 可以用好記的網址進入，而且也受到限定 IP 的管制。