From 2df78496a68c85637bee81955146d619942b3431 Mon Sep 17 00:00:00 2001 From: xuans Date: Fri, 2 Oct 2026 01:47:50 +0800 Subject: [PATCH] =?UTF-8?q?=E8=AE=B0=E5=BD=95=E5=AE=89=E5=85=A8=E8=BE=B9?= =?UTF-8?q?=E7=95=8C=E4=B8=8E=E5=8F=8D=E4=BB=A3=E5=A4=8D=E6=A0=B8=E8=BF=9B?= =?UTF-8?q?=E5=BA=A6?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 补充双机回环监听、Nginx 80/443 反代、邮件 Web 上游边界和当前生产验收阻塞项的非敏感实机证据。 --- doc/Scert整改任务执行清单.md | 11 +++++++++++ doc/Scert整改合并优化清单.md | 10 ++++++++++ 2 files changed, 21 insertions(+) diff --git a/doc/Scert整改任务执行清单.md b/doc/Scert整改任务执行清单.md index e1846e5..6d6d187 100644 --- a/doc/Scert整改任务执行清单.md +++ b/doc/Scert整改任务执行清单.md @@ -1765,3 +1765,14 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全 - [x] 已完成，等待复审：Scert、MySQL 和 MySQL X Protocol 均保持回环监听；公网项目入口仅使用 Nginx 80/443。 - [x] 已完成，等待复审：绕过本机代理直连检查内部端口不可达，排除代理造成的端口探测误报。 - [!] 暂缓或存在阻塞：整体生产验收仍等待发信、密码重置、完整 Web 流程、历史事务和最终清库首次部署等门禁闭环。 + +## 2026年10月1日安全边界与反代复核 + +本轮只记录不含认证信息的实机结果；不记录服务器口令、RAM 密钥、数据库密码、邮件服务密码、私钥、令牌或一次性链接。用户要求的安全边界解释为：Scert 管理入口不得绕过 Nginx 对公网提供服务，公开入口只使用 Nginx `80/443`。 + +- [✓] 双机 `Scert.service`、证书目录 socket、Nginx 和数据库服务均处于运行状态；两台 Scert 均只监听 `127.0.0.1:8443`，数据库端口只监听回环地址。 +- [✓] 双机 Nginx 配置检查通过；第二台 `odacm.cn` 本机反代复核为 HTTP `301` 跳转 HTTPS，`/readyz` 返回 HTTP `200` 和 `status=ready`。 +- [✓] 第一台已确认 `8443`、`9998`、`9999` 的拒绝规则位于宽范围规则之前；第二台入站默认拒绝，邮件 Web 上游端口仅保留本机来源规则，不作为公网 Scert 管理入口。 +- [✓] 本轮未停止或删除 Smail/PMail，不修改邮件协议端口；邮件 Web 继续由 Nginx 站点代理，Scert 验收只认 `80/443`。 +- [!] Scert 日志仍保留两条历史 `recovery_required` 事务的证据不足错误；不得清理、改写或伪造终态，P0-10 和总体生产验收继续阻塞。 +- [~] 当前安全入口子项可复审；完整三数据库 Web 流程、系统账户真实发信、验证码重置、P0-10 负向实机矩阵和干净候选包最终门禁仍未完成。 diff --git a/doc/Scert整改合并优化清单.md b/doc/Scert整改合并优化清单.md index 6d09d5e..43299d9 100644 --- a/doc/Scert整改合并优化清单.md +++ b/doc/Scert整改合并优化清单.md @@ -2399,3 +2399,13 @@ P0-11 生产验收门禁 - [x] 已完成，等待复审：升级过程中未停止 Nginx，未新增外部业务端口；安装器停服保护、安装事务和服务恢复均按正式流程执行。 - [!] 暂缓或存在阻塞：第一台现有 Nginx 站点使用既有业务域名和证书，公网 DNS `odacm.cn` 当前指向第二台；因此本轮不把第一台伪造为 `odacm.cn` 公网入口，也未替换第一台现有证书或站点配置。 - [!] 暂缓或存在阻塞：整体生产验收仍受 SMTP 实际发信、密码重置、完整 Web 矩阵、历史恢复事务核查、MySQL 5.7、DNS/ACME 和最终清库首次部署等门禁限制。 + +## 2026年10月1日安全边界与反代复核 + +本轮只记录非敏感实机证据，不记录任何认证信息。生产入口继续遵循“公网只使用 Nginx `80/443`，Scert 和数据库只走回环地址”的约束。 + +- [✓] 双机 Scert 均绑定 `127.0.0.1:8443`，数据库只绑定回环地址，Nginx 配置测试通过。 +- [✓] 第二台 `odacm.cn` 的 HTTP 自动跳转和 HTTPS `/readyz` 已在服务器本机通过严格 TLS 复核；第一台保留现有业务域名，不伪造为 `odacm.cn`。 +- [✓] 第二台邮件 Web 服务仍由现有 Nginx 站点反代，未把邮件服务端口作为 Scert 管理入口；本轮未停用、删除或改写 Smail/PMail 数据。 +- [!] 历史恢复事务证据不足仍由产品保守策略拦截，不能人工改终态；总体生产验收不放行。 +- [~] 安全入口子项完成待复审；三数据库 Web 流程、系统账户发信、密码重置、P0-10 实机负向矩阵和最终候选包仍待完成。