记一次内网服务认证失败导致 IP 被封的故障排查与解决

# 查看 NAS 上的封禁记录（通常在日志中可以找到）
cat /var/log/synology_logs/chat.log | grep "blocked\|blocked_ip\|ban"

# 或者查看 NAS 管理界面的安全日志

# 确认 IP 对应的机器名（如果有 DNS 反向解析）
host <目标IP>

# 或者查看内网的 IP 地址分配表
cat /etc/hosts | grep <目标IP>

# 查看 Node-RED 进程
ps aux | grep node-red | grep -v grep

# 查看 Node-RED 版本
node-red --version

# 查看 Node-RED 配置文件
cat ~/.node-red/settings.js | grep -A5 "chat"

# 或者查看 flows 配置文件
cat ~/.node-red/flows.json | jq '.[] | select(.type=="chat")'

# 查看 Node-RED 日志
journalctl -u node-red -f

# 或者查看 Node-RED 的控制台输出
cat ~/.node-red/.node-red.log

# 搜索认证相关的错误
grep -i "auth\|token\|401\|403" ~/.node-red/.node-red.log

# 查看 NAS 的安全策略配置
cat /etc/synology/smsd.conf | grep -i "fail\|block\|auth"

# 或者登录 NAS 管理界面查看
# 安全策略 -> 防护 -> 封锁规则

# 检查 Node-RED 监听的地址和端口
netstat -tlnp | grep 1880

# 检查防火墙规则
iptables -L -n | grep 1880

# 检查 Node-RED 的启动参数
ps aux | grep "node-red" | grep -v grep

# 如果有 SSH 权限，也可以命令行解除
# 登录 NAS
ssh admin@<NAS_IP>

# 查看被封锁的 IP 列表
sudo cat /etc/hosts.deny

# 移除封锁记录（需要管理员权限）
sudo vi /etc/hosts.deny
# 删除对应的 IP 记录

# 在 NAS 的安全策略中配置
# 封锁规则 -> 自动解除封锁时间：设置为 30 分钟或 24 小时

# 1. 登录 NAS Chat 开放平台
# 找到对应的应用，获取新的 Access Token

# 2. 更新 Node-RED flow 中的配置
# 编辑 flows.json，找到对应的 chat 节点
# 更新 token 字段

# 3. 或者使用环境变量管理敏感信息
# 在 Node-RED 的 settings.js 中添加：
# process.env.NAS_CHAT_TOKEN = "your_new_token"

# 4. 重启 Node-RED
systemctl restart nodered

# 修改 Node-RED 启动脚本，限制只监听本地
# 编辑 systemd 服务文件
sudo vi /etc/systemd/system/node-red.service

# 在 [Service] 部分添加：
Environment="NODE_OPTIONS=--max-http-header-size=100000"
ExecStart=/usr/bin/node-red -v -t /root/.node-red --listenLocal

# 或者修改 Node-RED 的 settings.js：
# 在 settings.js 中添加：
node-red/admin-ui: { middleware: require('connect')... }

# 更好的方式是配置 Node-RED 只监听 127.0.0.1
# 在启动参数中指定：
node-red --listenLocal 127.0.0.1

# 只允许特定 IP 访问 1880 端口
# 例如，只允许监控服务器（192.168.100.xxx）访问

iptables -A INPUT -p tcp --dport 1880 -s 192.168.100.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 1880 -j DROP

# 保存规则
iptables-save > /etc/iptables/rules.v4

# 在 Node-RED 的 settings.js 中启用认证：

adminAuth: {
    type: "credentials",
    users: [{
        username: "admin",
        password: "$2a$08$XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
        permissions: "*"
    }]
},

// 还需要为 HTTP 节点配置认证
httpNodeAuth: {
    user: "api_user",
    pass: "$2a$08$YYYYYYYYYYYYYYYY..."
},

httpRootAuth: {
    user: "root_user",
    pass: "$2a$08$ZZZZZZZZZZZZZZZZ..."
}

# 使用 nginx 反向代理并配置 Basic Auth

# 安装 nginx
sudo apt install nginx

# 配置 nginx
sudo vi /etc/nginx/sites-available/nodered

server {
    listen 443 ssl;
    server_name nodered.internal.example.com;

    ssl_certificate /etc/ssl/certs/nodered.crt;
    ssl_certificate_key /etc/ssl/private/nodered.key;

    location / {
        # Basic Auth
        auth_basic "Restricted Access";
        auth_basic_user_file /etc/nginx/.htpasswd;

        # 转发到 Node-RED
        proxy_pass http://127.0.0.1:1880;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
    }
}

# 创建密码文件
sudo apt install apache2-utils
sudo htpasswd -c /etc/nginx/.htpasswd admin

# 启用站点
sudo ln -s /etc/nginx/sites-available/nodered /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

#!/bin/bash

# 内网服务认证失败导致 IP 被封 - 快速排查脚本

echo "=== 认证失败告警快速排查 ==="
echo ""

# 1. 检查 NAS 封禁记录
echo "1. 检查 NAS 封禁记录："
echo "   如果可以 SSH 到 NAS，执行："
echo "   sudo cat /etc/hosts.deny | grep <被封IP>"
echo ""

# 2. 确认目标机器
echo "2. 确认目标机器："
read -p "请输入被封禁的 IP 地址: " TARGET_IP
echo "   正在查询 $TARGET_IP ..."

# 3. 检查目标机器上的服务
echo "3. 检查目标机器上的服务："
ssh -o ConnectTimeout=5 nodered@$TARGET_IP "ps aux | grep -E 'node-red|nodered' | grep -v grep" 2>/dev/null || echo "   无法连接到目标机器"
echo ""

# 4. 检查端口暴露情况
echo "4. 检查端口暴露情况："
ssh -o ConnectTimeout=5 nodered@$TARGET_IP "netstat -tlnp | grep -E '1880|3000|8080'" 2>/dev/null || echo "   无法连接到目标机器"
echo ""

# 5. 检查认证配置
echo "5. 检查 Node-RED 认证配置："
ssh -o ConnectTimeout=5 nodered@$TARGET_IP "cat ~/.node-red/settings.js | grep -E 'auth|Auth|user|pass'" 2>/dev/null || echo "   无法连接到目标机器"
echo ""

# 6. 检查 Token 配置
echo "6. 检查 Token 配置："
ssh -o ConnectTimeout=5 nodered@$TARGET_IP "grep -r 'token\|Token' ~/.node-red/flows*.json 2>/dev/null | head -5" 2>/dev/null || echo "   无法连接到目标机器"
echo ""

# 7. 建议修复步骤
echo "7. 建议的修复步骤："
echo "   a. 登录 NAS 管理界面，手动解除 IP 封锁"
echo "   b. 更新 NAS Chat 的 Token"
echo "   c. 配置 Node-RED 只监听 localhost"
echo "   d. 启用 Node-RED 认证"
echo "   e. 限制 1880 端口的访问范围"
echo ""

echo "=== 排查完成 ==="