发现异常流量，先别慌
前几天朋友老李打电话说公司远程办公系统突然连不上了，查了一下日志发现大量来自陌生IP的连接请求，初步判断是网络隧道被攻击了。这种情况其实不少见，尤其是用着IPSec、SSL或SSH隧道的企业和个体用户。
如果你也遇到类似情况——比如隧道频繁断开、服务器负载飙升、日志里出现大量失败登录尝试，那很可能是正在遭受攻击。
立即采取的应急措施
第一件事是隔离风险。把被攻击的隧道服务临时停掉，或者在防火墙上封禁异常IP段。比如用iptables快速拦截：
<code>iptables -A INPUT -s 192.168.100.50 -j DROP</code>当然，实际IP要根据日志分析得出。如果用的是云服务，可以直接在安全组里封禁来源IP。
接着检查是否有后门被植入。查看系统进程、定时任务和最近新增的用户账户。SSH隧道尤其要注意authorized_keys文件有没有被偷偷加了公钥。
加固隧道配置
等系统恢复稳定后，必须重新审视你的隧道设置。比如OpenVPN默认使用UDP 1194端口，很多人从不改，攻击者扫一下就知道你在用什么。换个非常见端口能减少被自动化工具盯上的概率。
还有就是强制使用强认证。光靠密码太危险，一定要上双因素或者客户端证书。像WireGuard就推荐每个客户端配独立密钥，一旦某个设备出问题，直接删对应公钥就行，不影响其他人。
启用日志监控和自动封禁
别等到被人打爆了才去看日志。部署fail2ban这类工具，可以自动解析日志，在检测到多次失败尝试后主动封IP。配置规则示例：
[sshd]
enabled = true
filter = sshd
action = iptables[name=SSH, port=22, protocol=tcp]
logpath = /var/log/auth.log
maxretry = 3这样三次输错密码就自动拉黑，能挡住大多数暴力破解。
考虑换更安全的协议方案
如果你还在用PPTP这种老古董，建议赶紧升级。PPTP早就被证明不安全，连WAN口暴露都不需要，几秒就能破解。换成IPSec with IKEv2或者WireGuard会靠谱得多。
特别是WireGuard，代码简洁，加密机制现代，性能还高。很多路由器固件现在都原生支持，配置起来也不复杂。
定期轮换密钥和端口
就像你不会一年不换门锁一样，隧道的密钥和端口也应该定期更换。哪怕没出事，三个月到半年做一次密钥轮换，能大大降低长期被潜伏的风险。
某次我帮一个客户排查，发现他们用了两年没换过IPSec预共享密钥，而且还是“password123”这种，等于大门敞开着。
网络隧道被攻击不是会不会的问题，而是早晚的事。提前设防，比事后救火强得多。