🚀 2026 伺服器界大地震！Aetherinox/csf-firewall 開箱評價：你的完美資安救生艇

哈囉大家好，如果你有在自己租機器架設網站、或是幫公司管伺服器，那你一定聽過 CSF 防火牆。不過就在不久前，伺服器圈發生了一件震撼全球主機代管圈的歷史級大地震 🚨！

稱霸 Linux 伺服器界將近 20 年的官方 CSF，竟然在 2025 年底無預警宣告「永久停更並關閉伺服器」。這代表什麼？這就像是你家社區的保全公司突然倒閉，警衛全部撤走，讓你的伺服器瞬間變成在網路上裸奔的「資安孤兒」！😭

💡 碎碎念： 就在大家陷入恐慌之際，開源社群的神人團隊 Aetherinox 挺身而出，接手了這個爛攤子，打造出我們今天要開箱的主角：Aetherinox/csf-firewall 💯！它不僅完美接手原版功能，還修補了大量歷史包袱，堪稱現今最穩的社群救生艇。🦺

^[1]

🔶 🔶 🔶

# 🎮 常用指令大全 – 您的CSF遙控器

## 🔄 基本常用操作指令

這些指令就像是CSF的遙控器，讓您隨時掌控防火牆狀態 🎛️

❶ 重新讀取設定檔 | csf -r
❷ 檢查CSF運作狀態 | csf -l
❸ 暫停CSF運作 | csf -x
❹ 恢復CSF運作 | csf -e
❺ 更新CSF主程式 | csf -u
❻ 重新啟動LFD服務 | systemctl restart lfd
❼ 檢查LFD服務 | systemctl status lfd –no-pager
❽ 搜尋特定IP規則 | csf -g 192.168.1.100
❾ 增加白名單 (/etc/csf/csf.allow) | csf -a 8.8.8.8
❿ 增加黑名單 (/etc/csf/csf.deny) | csf -d 8.8.8.8

📜 全新安裝 Aetherinox/csf-firewall

# 步驟㊀：安裝基本套件 ## Debian/Ubuntu 🐧 apt update -y apt install -y iptables ipset net-tools dnsutils libwww-perl liblwp-protocol-https-perl libgd-graph-perl ## RHEL/CentOS 🎩 dnf install -y iptables ipset net-tools bind-utils perl-libwww-perl perl-LWP-Protocol-https # 步驟㊁：建立腳本檔案 vi /root/install_aetherinox_fresh.sh # 步驟㊂：檢查檔案是否正確產生，然後正式執行安裝 ls -lh /root/install_aetherinox_fresh.sh head -20 /root/install_aetherinox_fresh.sh # 步驟㊃：加上執行權限 chmod +x /root/install_aetherinox_fresh.sh

#!/usr/bin/env bash
# ============================================================
# 腳本名稱：install_aetherinox_fresh.sh
# 功能說明：全新安裝 Aetherinox/csf-firewall，自動偵測真實對外網卡，
#           並開放常見服務埠（不含自動關閉 TESTING 模式，需人工確認）
# 建立日期：2026-07-22
# 版本：    1.0.0
# 使用方式：sudo ./install_aetherinox_fresh.sh
# ============================================================

set -euo pipefail
IFS=$'\n\t'

export LANG=zh_TW.UTF-8
export LC_ALL=zh_TW.UTF-8

# ============================================================
# 全域變數設定（要調整開放的埠，直接改這裡）
# ============================================================
readonly SCRIPT_NAME="$(basename "$0")"
readonly SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
readonly TIMESTAMP="$(date '+%Y%m%d_%H%M%S')"
readonly LOG_DIR="${SCRIPT_DIR}/logs"
readonly LOG_FILE="${LOG_DIR}/${SCRIPT_NAME%.sh}_${TIMESTAMP}.log"
readonly LOCK_FILE="/var/run/${SCRIPT_NAME%.sh}.pid"
readonly WORK_DIR="/usr/src/aetherinox-install-${TIMESTAMP}"

# 常見服務埠設定（要新增/刪除埠，直接改這幾行）
# TCP 常見服務：FTP(21) SSH(22) HTTP(80) HTTPS(443) SMTPS(465) IMAPS(993) POP3S(995) MySQL(3306) HTTP-ALT(8080)
readonly TCP_IN_PORTS="21,22,80,443,465,993,995,3306,8080"
# UDP 常見服務：DNS(53) NTP(123)
readonly UDP_IN_PORTS="53,123"
# DNS 在部分情境也會用到 TCP（大型查詢/區域轉送），一併加入 TCP_IN
readonly TCP_IN_PORTS_WITH_DNS="21,22,53,80,443,465,993,995,3306,8080"

# 已知的虛擬/內部網卡關鍵字（偵測時要排除的）
readonly EXCLUDE_IFACE_PATTERN='^(lo|docker|veth|br-|tun|tap|virbr|venet|vnet|cni|flannel)'

# 由偵測邏輯動態填入，不寫死
DETECTED_IFACE=""

# ============================================================
# 防重複執行機制
# ============================================================
acquire_lock() {
    if [[ -f "$LOCK_FILE" ]]; then
        local existing_pid
        existing_pid=$(cat "$LOCK_FILE")
        if kill -0 "$existing_pid" 2>/dev/null; then
            log_error "腳本已在執行中 (PID: ${existing_pid})，退出。"
            exit 1
        else
            log_warn "偵測到殘留 Lock 檔案，清除後繼續。"
            rm -f "$LOCK_FILE"
        fi
    fi
    echo $$ > "$LOCK_FILE"
}

release_lock() { rm -f "$LOCK_FILE"; }

# ============================================================
# 記錄函數
# ============================================================
setup_logging() {
    mkdir -p "$LOG_DIR"
    exec > >(tee -a "$LOG_FILE") 2>&1
    log_info "=== 開始執行：Aetherinox csf-firewall 全新安裝 ==="
    log_info "執行時間：$(date '+%Y-%m-%d %H:%M:%S %Z')"
}

log_info()  { printf '[%s] [INFO]  %s\n' "$(date '+%Y-%m-%d %H:%M:%S')" "$*"; }
log_warn()  { printf '[%s] [WARN]  %s\n' "$(date '+%Y-%m-%d %H:%M:%S')" "$*" >&2; }
log_error() { printf '[%s] [ERROR] %s\n' "$(date '+%Y-%m-%d %H:%M:%S')" "$*" >&2; }

# ============================================================
# 錯誤處理
# ============================================================
handle_error() {
    local exit_code=$?
    local line_number="${1:-unknown}"
    log_error "腳本在第 ${line_number} 行發生錯誤 (Exit Code: ${exit_code})"
    log_error "工作目錄：${WORK_DIR}（可手動檢查）"
    log_error "請查閱記錄檔：${LOG_FILE}"
    read -p "發生錯誤！按 Enter 結束（請人工檢查伺服器狀態）..."
    release_lock
    exit "$exit_code"
}

trap 'handle_error $LINENO' ERR
trap 'release_lock' EXIT INT TERM

# ============================================================
# 步驟 1：安全檢查
# ============================================================
step_precheck() {
    log_info "[DEBUG] 正在檢查執行權限..."
    if [[ $EUID -ne 0 ]]; then
        log_error "此腳本必須以 root 執行"
        exit 1
    fi

    log_info "[DEBUG] 正在檢查是否已有 CSF 家族安裝（避免與既有安裝衝突）..."
    if [[ -f /etc/csf/csf.conf ]]; then
        log_warn "偵測到 /etc/csf/csf.conf 已存在，代表這台可能已經裝過 CSF 家族防火牆"
        read -p "確定要在既有安裝上繼續嗎？（建議改用遷移腳本而非全新安裝，輸入 yes 強制繼續） " confirm
        [[ "$confirm" != "yes" ]] && { log_info "使用者取消操作"; exit 0; }
    fi

    log_info "[DEBUG] 檢查必要指令是否存在..."
    for cmd in wget unzip perl ip; do
        if ! command -v "$cmd" &>/dev/null; then
            log_error "缺少必要指令：${cmd}，請先安裝（例如：apt install -y ${cmd}）"
            exit 1
        fi
    done

    read -p "前置檢查完成！按 Enter 繼續下一階段（或 Ctrl+C 中斷）..."
}

# ============================================================
# 步驟 2：自動偵測真實對外網卡
# ============================================================
step_detect_interface() {
    log_info "[DEBUG] 正在偵測預設路由使用的網卡（第一層判斷）..."
    DETECTED_IFACE=$(ip -4 route list default 2>/dev/null | awk '{for(i=1;i<=NF;i++) if ($i=="dev") print $(i+1)}' | head -1)

    if [[ -z "$DETECTED_IFACE" ]]; then
        log_warn "找不到預設路由的網卡，改用第二層判斷（排除已知虛擬網卡後取第一個啟用中的實體介面）..."
        DETECTED_IFACE=$(ip -o link show up 2>/dev/null | awk -F': ' '{print $2}' | grep -Ev "$EXCLUDE_IFACE_PATTERN" | head -1)
    fi

    if [[ -z "$DETECTED_IFACE" ]]; then
        log_error "自動偵測失敗，無法找到可用的對外網卡"
        log_error "以下是目前系統上所有的網卡，請人工確認後手動指定："
        ip -o link show
        exit 1
    fi

    log_info "[DEBUG] 目前系統上所有網卡清單如下（供你交叉比對）："
    ip -o link show | awk -F': ' '{print "  - " $2}'

    log_info "[DEBUG] 自動偵測結果：${DETECTED_IFACE}"
    read -p "以上偵測到的網卡是「${DETECTED_IFACE}」，若正確請直接按 Enter；若要手動指定其他網卡，請輸入名稱後按 Enter： " manual_iface
    if [[ -n "$manual_iface" ]]; then
        DETECTED_IFACE="$manual_iface"
        log_info "[DEBUG] 已改用手動指定的網卡：${DETECTED_IFACE}"
    fi

    read -p "網卡確認完成（將使用：${DETECTED_IFACE}）！按 Enter 繼續下一階段（或 Ctrl+C 中斷）..."
}

# ============================================================
# 步驟 3：下載並安裝 Aetherinox/csf-firewall
# ============================================================
step_install_aetherinox() {
    log_info "[DEBUG] 正在下載 Aetherinox csf-firewall..."
    mkdir -p "$WORK_DIR" && cd "$WORK_DIR"
    wget -O csf.zip https://download.configserver.dev/csf.zip
    if [[ $? -ne 0 ]]; then log_error "下載失敗，請檢查網路連線"; exit 1; fi

    log_info "[DEBUG] 正在解壓縮至中性目錄，避免與 zip 內部目錄同名造成巢狀..."
    unzip -oq csf.zip -d csf_extracted
    if [[ $? -ne 0 ]]; then log_error "解壓縮失敗"; exit 1; fi

    log_info "[DEBUG] 正在動態搜尋主程式 install.sh（排除控制台外掛專用子腳本，優先取路徑最短者）..."
    local install_sh_path
    install_sh_path=$(find "${WORK_DIR}/csf_extracted" \
        -iname "install.sh" \
        -not -path "*/da/*" \
        -not -path "*/cpanel/*" \
        -not -path "*/webmin/*" \
        -not -path "*/interworx/*" \
        -not -path "*/cwp/*" \
        | awk '{ print length, $0 }' | sort -n | head -1 | cut -d' ' -f2-)

    if [[ -z "$install_sh_path" ]]; then
        log_error "解壓縮後找不到 install.sh，以下是實際目錄結構，請人工檢查："
        find "${WORK_DIR}/csf_extracted" -maxdepth 4
        exit 1
    fi

    local install_sh_dir
    install_sh_dir="$(dirname "$install_sh_path")"
    log_info "[DEBUG] 偵測到 install.sh 位於：${install_sh_dir}"
    cd "$install_sh_dir"

    log_info "[DEBUG] 正在執行安裝前相容性測試 (csftest.pl)..."
    if [[ -f csftest.pl ]]; then
        perl csftest.pl || log_warn "csftest.pl 回報部分項目不相容，請詳細檢查上方輸出"
    else
        log_warn "此目錄下找不到 csftest.pl，跳過相容性測試"
    fi

    read -p "相容性測試完成，確認上方結果後按 Enter 開始正式安裝（或 Ctrl+C 中斷）..."

    log_info "[DEBUG] 正在執行 install.sh..."
    sh install.sh
    if [[ $? -ne 0 ]]; then log_error "install.sh 執行失敗"; exit 1; fi

    log_info "[DEBUG] 安裝完成"
    read -p "Aetherinox 安裝完成！按 Enter 繼續設定階段（或 Ctrl+C 中斷）..."
}

# ============================================================
# 步驟 4：設定真實網卡與常見服務埠
# ============================================================
step_configure_csf() {
    if [[ ! -f /etc/csf/csf.conf ]]; then
        log_error "找不到 /etc/csf/csf.conf，安裝可能未正確完成"
        exit 1
    fi

    log_info "[DEBUG] 正在設定 CSF 只管理真實對外網卡（ETH_DEVICE = ${DETECTED_IFACE}）..."
    if grep -q '^ETH_DEVICE = ' /etc/csf/csf.conf; then
        sed -i "s/^ETH_DEVICE = .*/ETH_DEVICE = \"${DETECTED_IFACE}\"/" /etc/csf/csf.conf
    else
        echo "ETH_DEVICE = \"${DETECTED_IFACE}\"" >> /etc/csf/csf.conf
    fi
    if [[ $? -ne 0 ]]; then log_error "設定 ETH_DEVICE 失敗"; exit 1; fi

    log_info "[DEBUG] 正在開放常見服務埠..."
    log_info "[DEBUG] TCP_IN 將設定為：${TCP_IN_PORTS_WITH_DNS}"
    sed -i "s/^TCP_IN = .*/TCP_IN = \"${TCP_IN_PORTS_WITH_DNS}\"/" /etc/csf/csf.conf
    if [[ $? -ne 0 ]]; then log_error "設定 TCP_IN 失敗"; exit 1; fi

    log_info "[DEBUG] UDP_IN 將設定為：${UDP_IN_PORTS}"
    sed -i "s/^UDP_IN = .*/UDP_IN = \"${UDP_IN_PORTS}\"/" /etc/csf/csf.conf
    if [[ $? -ne 0 ]]; then log_error "設定 UDP_IN 失敗"; exit 1; fi

    log_warn "注意：TCP_IN 已包含 3306(MySQL) 與 21(FTP)，這兩個埠對外開放有資安風險"
    log_warn "若非必要對外提供資料庫或 FTP 服務，強烈建議之後手動從 TCP_IN 移除這兩個埠"

    log_info "[DEBUG] 確認目前 TESTING 模式狀態（本腳本不會自動關閉，僅供你確認）..."
    grep '^TESTING = ' /etc/csf/csf.conf

    read -p "服務埠與網卡設定完成！按 Enter 繼續重新載入規則（或 Ctrl+C 中斷）..."

    log_info "[DEBUG] 正在重新載入 CSF 規則..."
    csf -r
    if [[ $? -ne 0 ]]; then log_error "csf -r 重新載入失敗，請人工檢查上方錯誤訊息"; exit 1; fi
}

# ============================================================
# 步驟 5：最終驗證與強力提醒
# ============================================================
step_final_reminder() {
    log_info "[DEBUG] 正在檢查 csf/lfd 服務狀態..."
    systemctl status csf --no-pager | head -3 || log_warn "csf 服務狀態異常，請人工檢查"
    systemctl status lfd --no-pager | head -3 || log_warn "lfd 服務狀態異常，請人工檢查"

    log_info "[DEBUG] 目前已開放的 TCP 服務埠："
    grep '^TCP_IN = ' /etc/csf/csf.conf
    log_info "[DEBUG] 目前已開放的 UDP 服務埠："
    grep '^UDP_IN = ' /etc/csf/csf.conf
    log_info "[DEBUG] 目前使用的網卡："
    grep '^ETH_DEVICE = ' /etc/csf/csf.conf

    log_warn "===================================================="
    log_warn "重要提醒：TESTING 模式目前仍為開啟狀態（安全預設值）"
    log_warn "TESTING 模式下，規則約 5 分鐘後會自動清空，這是為了避免你被自己鎖在 SSH 外面"
    log_warn "請先在另一個終端機視窗，實際測試 SSH 連線是否正常"
    log_warn "確認無誤後，手動執行以下兩行指令正式啟用防護："
    log_warn "  sed -i 's/^TESTING = \"1\"/TESTING = \"0\"/' /etc/csf/csf.conf"
    log_warn "  csf -r"
    log_warn "===================================================="

    read -p "全新安裝流程結束！按 Enter 結束腳本..."
    log_info "=== 安裝流程結束 ==="
}

# ============================================================
# 主邏輯
# ============================================================
main() {
    setup_logging
    acquire_lock
    step_precheck
    step_detect_interface
    step_install_aetherinox
    step_configure_csf
    step_final_reminder
}

main "$@"

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

#!/usr/bin/env bash

# ============================================================

# 腳本名稱：install_aetherinox_fresh.sh

# 功能說明：全新安裝 Aetherinox/csf-firewall，自動偵測真實對外網卡，

# 並開放常見服務埠（不含自動關閉 TESTING 模式，需人工確認）

# 建立日期：2026-07-22

# 版本： 1.0.0

# 使用方式：sudo ./install_aetherinox_fresh.sh

# ============================================================

set -euo pipefail

IFS=$'\n\t'

export LANG=zh_TW.UTF-8

export LC_ALL=zh_TW.UTF-8

# ============================================================

# 全域變數設定（要調整開放的埠，直接改這裡）

# ============================================================

readonly SCRIPT_NAME="$(basename "$0")"

readonly SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"

readonly TIMESTAMP="$(date '+%Y%m%d_%H%M%S')"

readonly LOG_DIR="${SCRIPT_DIR}/logs"

readonly LOG_FILE="${LOG_DIR}/${SCRIPT_NAME%.sh}_${TIMESTAMP}.log"

readonly LOCK_FILE="/var/run/${SCRIPT_NAME%.sh}.pid"

readonly WORK_DIR="/usr/src/aetherinox-install-${TIMESTAMP}"

# 常見服務埠設定（要新增/刪除埠，直接改這幾行）

# TCP 常見服務：FTP(21) SSH(22) HTTP(80) HTTPS(443) SMTPS(465) IMAPS(993) POP3S(995) MySQL(3306) HTTP-ALT(8080)

readonly TCP_IN_PORTS="21,22,80,443,465,993,995,3306,8080"

# UDP 常見服務：DNS(53) NTP(123)

readonly UDP_IN_PORTS="53,123"

# DNS 在部分情境也會用到 TCP（大型查詢/區域轉送），一併加入 TCP_IN

readonly TCP_IN_PORTS_WITH_DNS="21,22,53,80,443,465,993,995,3306,8080"

# 已知的虛擬/內部網卡關鍵字（偵測時要排除的）

# 由偵測邏輯動態填入，不寫死

DETECTED_IFACE=""

# ============================================================

# 防重複執行機制

# ============================================================

acquire_lock() {

if [[ -f "$LOCK_FILE" ]]; then

local existing_pid

existing_pid=$(cat "$LOCK_FILE")

if kill -0 "$existing_pid" 2>/dev/null; then

log_error "腳本已在執行中 (PID: ${existing_pid})，退出。"

exit 1

else

log_warn "偵測到殘留 Lock 檔案，清除後繼續。"

rm -f "$LOCK_FILE"

echo $$ > "$LOCK_FILE"

}

release_lock() { rm -f "$LOCK_FILE"; }

# ============================================================

# 記錄函數

# ============================================================

setup_logging() {

mkdir -p "$LOG_DIR"

exec > >(tee -a "$LOG_FILE") 2>&1

log_info "=== 開始執行：Aetherinox csf-firewall 全新安裝 ==="

log_info "執行時間：$(date '+%Y-%m-%d %H:%M:%S %Z')"

}

log_info() { printf '[%s] [INFO] %s\n' "$(date '+%Y-%m-%d %H:%M:%S')" "$*"; }

log_warn() { printf '[%s] [WARN] %s\n' "$(date '+%Y-%m-%d %H:%M:%S')" "$*" >&2; }

log_error() { printf '[%s] [ERROR] %s\n' "$(date '+%Y-%m-%d %H:%M:%S')" "$*" >&2; }

# ============================================================

# 錯誤處理

# ============================================================

handle_error() {

local exit_code=$?

local line_number="${1:-unknown}"

log_error "腳本在第 ${line_number} 行發生錯誤 (Exit Code: ${exit_code})"

log_error "工作目錄：${WORK_DIR}（可手動檢查）"

log_error "請查閱記錄檔：${LOG_FILE}"

read -p "發生錯誤！按 Enter 結束（請人工檢查伺服器狀態）..."

release_lock

exit "$exit_code"

}

trap 'handle_error $LINENO' ERR

trap 'release_lock' EXIT INT TERM

# ============================================================

# 步驟 1：安全檢查

# ============================================================

step_precheck() {

log_info "[DEBUG] 正在檢查執行權限..."

if [[ $EUID -ne 0 ]]; then

log_error "此腳本必須以 root 執行"

exit 1

log_info "[DEBUG] 正在檢查是否已有 CSF 家族安裝（避免與既有安裝衝突）..."

if [[ -f /etc/csf/csf.conf ]]; then

log_warn "偵測到 /etc/csf/csf.conf 已存在，代表這台可能已經裝過 CSF 家族防火牆"

read -p "確定要在既有安裝上繼續嗎？（建議改用遷移腳本而非全新安裝，輸入 yes 強制繼續） " confirm

[[ "$confirm" != "yes" ]] && { log_info "使用者取消操作"; exit 0; }

log_info "[DEBUG] 檢查必要指令是否存在..."

for cmd in wget unzip perl ip; do

if ! command -v "$cmd" &>/dev/null; then

log_error "缺少必要指令：${cmd}，請先安裝（例如：apt install -y ${cmd}）"

exit 1

done

read -p "前置檢查完成！按 Enter 繼續下一階段（或 Ctrl+C 中斷）..."

}

# ============================================================

# 步驟 2：自動偵測真實對外網卡

# ============================================================

step_detect_interface() {

log_info "[DEBUG] 正在偵測預設路由使用的網卡（第一層判斷）..."

DETECTED_IFACE=$(ip -4 route list default 2>/dev/null | awk '{for(i=1;i<=NF;i++) if ($i=="dev") print $(i+1)}' | head -1)

if [[ -z "$DETECTED_IFACE" ]]; then

log_warn "找不到預設路由的網卡，改用第二層判斷（排除已知虛擬網卡後取第一個啟用中的實體介面）..."

DETECTED_IFACE=$(ip -o link show up 2>/dev/null | awk -F': ' '{print $2}' | grep -Ev "$EXCLUDE_IFACE_PATTERN" | head -1)

if [[ -z "$DETECTED_IFACE" ]]; then

log_error "自動偵測失敗，無法找到可用的對外網卡"

log_error "以下是目前系統上所有的網卡，請人工確認後手動指定："

ip -o link show

exit 1

log_info "[DEBUG] 目前系統上所有網卡清單如下（供你交叉比對）："

ip -o link show | awk -F': ' '{print " - " $2}'

log_info "[DEBUG] 自動偵測結果：${DETECTED_IFACE}"

read -p "以上偵測到的網卡是「${DETECTED_IFACE}」，若正確請直接按 Enter；若要手動指定其他網卡，請輸入名稱後按 Enter： " manual_iface

if [[ -n "$manual_iface" ]]; then

DETECTED_IFACE="$manual_iface"

log_info "[DEBUG] 已改用手動指定的網卡：${DETECTED_IFACE}"

read -p "網卡確認完成（將使用：${DETECTED_IFACE}）！按 Enter 繼續下一階段（或 Ctrl+C 中斷）..."

}

# ============================================================

# 步驟 3：下載並安裝 Aetherinox/csf-firewall

# ============================================================

step_install_aetherinox() {

log_info "[DEBUG] 正在下載 Aetherinox csf-firewall..."

mkdir -p "$WORK_DIR" && cd "$WORK_DIR"

wget -O csf.zip https://download.configserver.dev/csf.zip

if [[ $? -ne 0 ]]; then log_error "下載失敗，請檢查網路連線"; exit 1; fi

log_info "[DEBUG] 正在解壓縮至中性目錄，避免與 zip 內部目錄同名造成巢狀..."

unzip -oq csf.zip -d csf_extracted

if [[ $? -ne 0 ]]; then log_error "解壓縮失敗"; exit 1; fi

log_info "[DEBUG] 正在動態搜尋主程式 install.sh（排除控制台外掛專用子腳本，優先取路徑最短者）..."

local install_sh_path

install_sh_path=$(find "${WORK_DIR}/csf_extracted" \

-iname "install.sh" \

-not -path "*/da/*" \

-not -path "*/cpanel/*" \

-not -path "*/webmin/*" \

-not -path "*/interworx/*" \

-not -path "*/cwp/*" \

| awk '{ print length, $0 }' | sort -n | head -1 | cut -d' ' -f2-)

if [[ -z "$install_sh_path" ]]; then

log_error "解壓縮後找不到 install.sh，以下是實際目錄結構，請人工檢查："

find "${WORK_DIR}/csf_extracted" -maxdepth 4

exit 1

local install_sh_dir

install_sh_dir="$(dirname "$install_sh_path")"

log_info "[DEBUG] 偵測到 install.sh 位於：${install_sh_dir}"

cd "$install_sh_dir"

log_info "[DEBUG] 正在執行安裝前相容性測試 (csftest.pl)..."

if [[ -f csftest.pl ]]; then

perl csftest.pl || log_warn "csftest.pl 回報部分項目不相容，請詳細檢查上方輸出"

else

log_warn "此目錄下找不到 csftest.pl，跳過相容性測試"

read -p "相容性測試完成，確認上方結果後按 Enter 開始正式安裝（或 Ctrl+C 中斷）..."

log_info "[DEBUG] 正在執行 install.sh..."

sh install.sh

if [[ $? -ne 0 ]]; then log_error "install.sh 執行失敗"; exit 1; fi

log_info "[DEBUG] 安裝完成"

read -p "Aetherinox 安裝完成！按 Enter 繼續設定階段（或 Ctrl+C 中斷）..."

}

# ============================================================

# 步驟 4：設定真實網卡與常見服務埠

# ============================================================

step_configure_csf() {

if [[ ! -f /etc/csf/csf.conf ]]; then

log_error "找不到 /etc/csf/csf.conf，安裝可能未正確完成"

exit 1

log_info "[DEBUG] 正在設定 CSF 只管理真實對外網卡（ETH_DEVICE = ${DETECTED_IFACE}）..."

if grep -q '^ETH_DEVICE = ' /etc/csf/csf.conf; then

sed -i "s/^ETH_DEVICE = .*/ETH_DEVICE = \"${DETECTED_IFACE}\"/" /etc/csf/csf.conf

else

echo "ETH_DEVICE = \"${DETECTED_IFACE}\"" >> /etc/csf/csf.conf

if [[ $? -ne 0 ]]; then log_error "設定 ETH_DEVICE 失敗"; exit 1; fi

log_info "[DEBUG] 正在開放常見服務埠..."

log_info "[DEBUG] TCP_IN 將設定為：${TCP_IN_PORTS_WITH_DNS}"

sed -i "s/^TCP_IN = .*/TCP_IN = \"${TCP_IN_PORTS_WITH_DNS}\"/" /etc/csf/csf.conf

if [[ $? -ne 0 ]]; then log_error "設定 TCP_IN 失敗"; exit 1; fi

log_info "[DEBUG] UDP_IN 將設定為：${UDP_IN_PORTS}"

sed -i "s/^UDP_IN = .*/UDP_IN = \"${UDP_IN_PORTS}\"/" /etc/csf/csf.conf

if [[ $? -ne 0 ]]; then log_error "設定 UDP_IN 失敗"; exit 1; fi

log_warn "注意：TCP_IN 已包含 3306(MySQL) 與 21(FTP)，這兩個埠對外開放有資安風險"

log_warn "若非必要對外提供資料庫或 FTP 服務，強烈建議之後手動從 TCP_IN 移除這兩個埠"

log_info "[DEBUG] 確認目前 TESTING 模式狀態（本腳本不會自動關閉，僅供你確認）..."

grep '^TESTING = ' /etc/csf/csf.conf

read -p "服務埠與網卡設定完成！按 Enter 繼續重新載入規則（或 Ctrl+C 中斷）..."

log_info "[DEBUG] 正在重新載入 CSF 規則..."

csf -r

if [[ $? -ne 0 ]]; then log_error "csf -r 重新載入失敗，請人工檢查上方錯誤訊息"; exit 1; fi

}

# ============================================================

# 步驟 5：最終驗證與強力提醒

# ============================================================

step_final_reminder() {

log_info "[DEBUG] 正在檢查 csf/lfd 服務狀態..."

systemctl status csf --no-pager | head -3 || log_warn "csf 服務狀態異常，請人工檢查"

systemctl status lfd --no-pager | head -3 || log_warn "lfd 服務狀態異常，請人工檢查"

log_info "[DEBUG] 目前已開放的 TCP 服務埠："

grep '^TCP_IN = ' /etc/csf/csf.conf

log_info "[DEBUG] 目前已開放的 UDP 服務埠："

grep '^UDP_IN = ' /etc/csf/csf.conf

log_info "[DEBUG] 目前使用的網卡："

grep '^ETH_DEVICE = ' /etc/csf/csf.conf

log_warn "===================================================="

log_warn "重要提醒：TESTING 模式目前仍為開啟狀態（安全預設值）"

log_warn "TESTING 模式下，規則約 5 分鐘後會自動清空，這是為了避免你被自己鎖在 SSH 外面"

log_warn "請先在另一個終端機視窗，實際測試 SSH 連線是否正常"

log_warn "確認無誤後，手動執行以下兩行指令正式啟用防護："

log_warn " sed -i 's/^TESTING = \"1\"/TESTING = \"0\"/' /etc/csf/csf.conf"

log_warn " csf -r"

log_warn "===================================================="

read -p "全新安裝流程結束！按 Enter 結束腳本..."

log_info "=== 安裝流程結束 ==="

}

# ============================================================

# 主邏輯

# ============================================================

main() {

setup_logging

acquire_lock

step_precheck

step_detect_interface

step_install_aetherinox

step_configure_csf

step_final_reminder

}

main "$@"

㊙️ install_aetherinox_fresh.sh檔案下載 ^[2]

# 步驟㊄：# 開始安裝 🚀⚡️🏎

bash /root/install_aetherinox_fresh.sh

安裝完畢後請先注意此處的設定

# 🔧 防範syslog 偽造攻擊的設定

在安裝完成後，先注意到RESTRICT_SYSLOG 這個選項，他是在防範一種叫做**「syslog 偽造攻擊」**的手法。CSF 裡面有一個核心組件叫 LFD (Login Failure Daemon)。LFD 就像是看監視器畫面抓小偷的「保全大叔」，而系統日誌 (Syslog) 就是「監視器畫面」。

預設情況下（RESTRICT_SYSLOG = “0”），Linux 系統將允許任何本機使用者寫入日誌。這意味著如果駭客拿到了一個低權限的帳號，他可以故意在系統日誌裡「偽造」一筆假攻擊紀錄，栽贓給你自己的 IP。保全大叔 (LFD) 看到這筆假紀錄，就會誤以為是你這個合法 IP 在攻擊伺服器，進而把你封鎖（這稱為 Log Spoofing / LFD Evasion 攻擊）。

所以將設定改為 “3”，等於是把監視器控制室的門鎖上，只允許特定群組 (mysyslog) 進入，大幅提升伺服器安全性。

# ⓿ 備份原始設定檔 (先安全，再動手) cp -a /etc/csf/csf.conf /etc/csf/csf.conf.bak # ❶ 先確認群組名稱沒有衝突 getent group mysyslog # 若有輸出，先把名稱改成獨一無二的名字，例如 csfsysloggroup # ❷ 🚨 檢查目前的白名單使用者清單，視服務狀況手動補充 cat /etc/csf/csf.syslogusers

🚨 這份清單決定了「誰還能繼續正常寫日誌」。CSF 安裝時通常會自動幫你填好一份預設清單（包含 root、daemon、sshd 等系統關鍵服務)，但假設伺服器有跑其他服務，務必人工檢查一次，確認沒有遺漏會用到 syslog 的重要程序。

# 步驟➀：先安全，再動手（備份檔案）
cp -a /etc/csf/csf.syslogusers /etc/csf/csf.syslogusers.bak

# 步驟➁：# 快速修改設定，邏輯是：先檢查 `docker` 是否已經在檔案中，如果不在，就透過 `sed` 尋找 `#   Other users:` 這一行，把下一行（`# #`）拉進來一起處理，然後在它們後面附加debian、docker、www三個帳號 (視狀況增減)
grep -q "^docker$" /etc/csf/csf.syslogusers || sed -i '/#   Other users:/ { N; s/$/\ndebian\ndocker\nwww/ }' /etc/csf/csf.syslogusers

# 步驟➂：確認是否精準加在 `Other users:` 區塊下方。
tail -n 6 /etc/csf/csf.syslogusers
正常輸出應為：
#   Other users:
# #
debian
docker
www

# 步驟➀：先安全，再動手（備份檔案）

cp -a /etc/csf/csf.syslogusers /etc/csf/csf.syslogusers.bak

# 步驟➁：# 快速修改設定，邏輯是：先檢查 `docker` 是否已經在檔案中，如果不在，就透過 `sed` 尋找 `# Other users:` 這一行，把下一行（`# #`）拉進來一起處理，然後在它們後面附加debian、docker、www三個帳號 (視狀況增減)

grep -q "^docker$" /etc/csf/csf.syslogusers || sed -i '/# Other users:/ { N; s/$/\ndebian\ndocker\nwww/ }' /etc/csf/csf.syslogusers

# 步驟➂：確認是否精準加在 `Other users:` 區塊下方。

tail -n 6 /etc/csf/csf.syslogusers

正常輸出應為：

# Other users:

# #

debian

docker

www

# 步驟➃：確認 CSF 是否成功將這三個帳號加入了日誌群組（預設為 mysyslog）。 grep "mysyslog" /etc/group # 步驟➄：快速修改設定，正式啟用等級 3 sed -i 's/^RESTRICT_SYSLOG = "0"/RESTRICT_SYSLOG = "3"/' /etc/csf/csf.conf grep "RESTRICT_SYSLOG =" /etc/csf/csf.conf # 步驟➅：🚨 這個設定生效要重啟 lfd，而不是 csf -r，官方文件明確指出，群組建立跟權限異動的動作發生在 lfd 啟動時） systemctl restart lfd # 步驟➆：確認 lfd 服務正常運作，沒有因為權限問題掛掉 systemctl status lfd --no-pager -l

🔧 關閉測試模式

當一切設定完成後，記得關閉測試模式讓CSF正式上線 🎬：

# 快速修改設定，關閉測試模式
sed -i 's#TESTING = "1"#TESTING = "0"#g' /etc/csf/csf.conf
grep "TESTING =" /etc/csf/csf.conf

# 重啟防火牆
csf -r

# 測試一般日誌功能是否還正常（觀察 syslog 是否持續有新內容寫入）
tail -f /var/log/messages
或是
tail -f /var/log/syslog

# 快速修改設定，關閉測試模式

sed -i 's#TESTING = "1"#TESTING = "0"#g' /etc/csf/csf.conf

grep "TESTING =" /etc/csf/csf.conf

# 重啟防火牆

csf -r

# 測試一般日誌功能是否還正常（觀察 syslog 是否持續有新內容寫入）

tail -f /var/log/messages

或是

tail -f /var/log/syslog

🤜🤛 回復 / rollback 方案

如果 RESTRICT_SYSLOG 設定為 3 之後，你的其他應用程式出現嚴重的日誌寫入問題，且你暫時無法處理群組權限，可以透過以下步驟快速退回原狀：

# ➀. 快速修改設定，還原設定

sed -i 's/^RESTRICT_SYSLOG = "3"/RESTRICT_SYSLOG = "0"/' /etc/csf/csf.conf
grep "RESTRICT_SYSLOG ="  /etc/csf/csf.conf

# ➁. 重啟日誌服務以還原 /dev/log 權限
systemctl restart lfd
systemctl restart rsyslog

sed -i 's/^RESTRICT_SYSLOG = "3"/RESTRICT_SYSLOG = "0"/' /etc/csf/csf.conf

grep "RESTRICT_SYSLOG =" /etc/csf/csf.conf

# ➁. 重啟日誌服務以還原 /dev/log 權限

systemctl restart lfd

systemctl restart rsyslog

🟩 🟩 🟩

一、為什麼你需要它？從「大門鎖」到「神級警衛」

對於很多剛接觸 Linux 伺服器的小白來說，可能會問：「系統不是內建 iptables 防火牆了嗎？為什麼還要裝這個？」

🔴 假設情境： 我們把 Linux 內建的 iptables 想像成社區冰冷難懂的「大門鎖」和「鎖匠工具箱」。你要設定它，得背出一大堆像外星文的指令碼；只要打錯一個字，大門就會卡死，把你鎖在外面。🔒

而 CSF (ConfigServer Security & Firewall) 💡，就像是你花錢請來一位全天候拿著對講機、盯著監視器畫面的「神級警衛」。你只要用白話文跟他說：「幫我擋住可疑份子」，他就會自動去操作那些複雜的門鎖。🔐

⭐ LFD (登入失敗守護神)：這就像是銀行金庫門口的「AI 臉部辨識守衛」。如果你輸入密碼手滑太多次，他不會只是把你趕走，而是直接下令「物理隔離」，把你丟到黑名單外太空。
⭐ IPSet 高效記憶體載入：想像你要比對全球數十萬筆惡意 IP 📊。傳統做法是拿著厚厚的名冊一頁一頁翻（CPU 暴斃）；IPSet 則是把名單變成「壓縮晶片」直接植入警衛的大腦（記憶體），一秒鐘過濾完畢，伺服器完全不卡死。

🌐 Aetherinox/csf-firewall GitHub ^[6]

🟦 🟦 🟦

二、核心功能大解密：官方宣傳 vs 現實殘酷對比

不要被它樸實無華的名字騙了，Aetherinox 的版本在介面與功能上做了巨幅的現代化最佳化。但它真的完美無缺嗎？我們來看看殘酷擂台：

核心防護功能	官方宣傳描述	老司機實測真相
底層支援	無縫支援 iptables 與新一代 nftables。	宣傳有落差 ⚠️！底層邏輯還是死綁 iptables，在純 nftables 環境需仰賴系統相容層。
網頁介面 (UI)	完美整合主流控制面板，全新深色主題。	極度讚賞 💯！修復了原本亮瞎眼的排版，深色模式讓工程師半夜加班不再流淚，且支援 DirectAdmin 等面板。
全自動更新	內建 csget 守護行程，背景獲取安全性修補。	改寫了底層代碼，建立三重容錯抓取機制 📊（wget, curl, GET），確保不會因為單一套件缺失而更新失敗。

🟨 🟨 🟨

三、你適合用嗎？四大真實情境全解析 (🚨 必看陷阱)

為了幫助大家快速對號入座，我整理了四種常見的使用情境，告訴你到底該不該裝它：

❶ 一般輕量使用者 / 個人站長
如果你剛租了一台平價 VPS 架設 WordPress，每天看著 Log 裡面一堆奇怪國家的 IP 狂敲你的登入大門。
👉 強烈建議安裝 💯。LFD 的防護能讓你免除被暴力破解的恐懼。只需微調設定，「密碼錯誤 5 次即封鎖 IP」，立刻斬斷煩惱。🛡️
❷ 中小型主機代管商 (Web Hosting)
你的客戶常常因為自己忘記密碼，被伺服器封鎖，然後瘋狂打電話來客訴？
👉 Aetherinox 最佳化了 Messenger 阻擋頁面功能 💡。客戶被鎖時，網頁會跳出 reCAPTCHA 驗證碼，證明自己是人類就能解鎖，大幅削減客服工單壓力。🛡️
❸ 獨立開發者 / 資安維運人員
👉 如果你需要高頻率的威脅情報，Aetherinox 提供了每月 $10 訂閱制 📊 的 API 黑名單服務，能直接把全球數十萬筆惡意 IP 載入防火牆，買到高品質的睡眠。🥱
❹ 高風險誤用場景 (自我放逐與 3 秒鐘的荒謬)

🚨 千萬別踩雷：令人噴飯的資安真空！
很多新手改了自訂的 SSH 連接埠（例如 2222）卻忘記加入白名單，防火牆一啟動，瞬間把「自己」永久鎖在門外，只能請主機商重灌！🫥
更扯的是 Issue #59 事件：有人把防護變數 LF_MODSEC_PERM 設為 “3” 📊。他以為是「攔截 3 次」，但底層邏輯竟然是只封鎖 3 秒鐘 🚨！結果駭客每 4 秒攻擊一次，如入無人之境，整個防禦形同虛設。🥴

^[7]

🟧 🟧 🟧

四、隱私與驚心動魄的供應鏈危機

隱私方面，大家可以放心，CSF 是一款純粹的「本地化防護工具」，你的日誌資料只會留在你的伺服器裡，不會被偷偷上傳。🔒

但是！在 2025 年底，爆發了一場差點毀滅 Linux 界的官方網域遭挾持 (Domain Takeover) 事件 ⚠️。原廠倒閉後，舊的自動更新網域竟然被不明人士惡意註冊！全球百萬台伺服器每天依然傻傻地去連線下載更新，駭客如果放上木馬，後果不堪設想。🐛

好在 Aetherinox 團隊展現了神級的反應速度，立刻大刀闊斧移除對舊網域的硬編碼依賴，把更新節點轉移到受控的新網域，成功拆除了這顆懸在開源界頭頂的核彈。光是這點，就值得給他們團隊一個熱烈的掌聲！👏

🟪 🟪 🟪

五、綜合評分與終極總結

在市場上的替代方案中（例如死氣沉沉的 cPanel 官方分支，或是過於簡陋的 Firewalld+Fail2ban），Aetherinox 絕對是目前泛用性最強的王者。🤴

^[8]

🏆 綜合評分榜 (滿分 10 分)

🔹 功能完整性：8.5 分 (完美繼承血統，補足 Docker 支援，唯獨底層 iptables 稍嫌老舊)
🔹 資料安全性：9.0 分 (純本地運作，供應鏈危機反應極快)
🔹 法律合規性：8.0 分 (GPLv3 授權清晰，但需注意歐盟 GDPR 收集 IP 的規範)
🔹 安裝易用性：6.0 分 (設定檔依舊是密密麻麻的純文字，對資安新手充滿惡意)
🔹 維護活躍度：9.5 分 (開發者狂熱，更新頻繁)
🔹 🇹🇼繁體中文支援🇹🇼： 介面主要仍依賴英文，但台灣社團已有大量中文化設定教學加持。

總平均：8.2 / 10 分 (強力推薦) 🌟

🔥 一句話總結： 這艘社群救生艇不僅成功延續了傳奇防火牆的生命，更在介面與更新機制上超越了原版。只要你避開文件裡那幾個「反人類直覺」的設定陷阱，它絕對能用最低的成本，讓你的伺服器固若金湯！🛟

🚀 2026 伺服器界大地震！Aetherinox/csf-firewall 開箱評價：你的完美資安救生艇

# 🎮 常用指令大全 – 您的CSF遙控器

📜 全新 安裝 Aetherinox/csf-firewall

安裝完畢後請先注意此處的設定

🔧 關閉測試模式

🤜🤛 回復 / rollback 方案

一、為什麼你需要它？從「大門鎖」到「神級警衛」

二、核心功能大解密：官方宣傳 vs 現實殘酷對比

三、你適合用嗎？四大真實情境全解析 (🚨 必看陷阱)

四、隱私與驚心動魄的供應鏈危機

五、綜合評分與終極總結

🏆 綜合評分榜 (滿分 10 分)

📜 全新安裝 Aetherinox/csf-firewall