Memcached Hardened

描述 #

Imaxe Hardened Memcached 是一款经过加固、可直接用于生产的 Memcached AMI，旨在直接替代「Memcached packaged by Bitnami」。它使用 Ubuntu 的标准软件包安装 Memcached — apt、systemd 和 FHS 标准路径，没有 /opt 下的单体目录树，也没有专有的进程管理器 — 构建在 imaxe 的加固基线之上。

与 Bitnami 产品相比，出厂即有两点安全差异：SASL 认证默认启用（而非禁用），每个实例拥有唯一密码；网络流量通过 TLS 加密，证书同样在每个实例上生成。由于 memcached 唯一的 SASL 机制是 PLAIN，没有 TLS 时密码将以明文传输 — 在这里这不可能发生。

其余部分是 imaxe 的加固基线：默认拒绝的防火墙、强化的 SSH、处于 enforce 模式的 AppArmor、基于 auditd 的审计、AIDE 文件完整性校验、rkhunter rootkit 检测、ClamAV 防病毒以及 fail2ban 暴力破解防护。每次发布均通过 Lynis 审计验证，完整报告可在下方阅读。

快速指南：5 分钟投入使用 #

从零到一套已加固的生产缓存，所需的全部步骤。

如果您更愿意手动操作，完整流程共五个步骤：

特性 #

镜像包含的全部内容，按标准功能与我们的独有功能分组。

通用

• Memcached 1.6 来自 Ubuntu 26.04 LTS（resolute，arm64）的官方软件包，由 systemd 管理 — 没有 /opt 目录树，也没有专有脚本。
• Ubuntu 基线在每次构建时更新，并启用自动安全补丁（unattended-upgrades）。
• ufw 防火墙默认拒绝：本地仅允许 22（SSH）和 11211（memcached）；Marketplace 的安全组只开放 22。
• 强化的 SSH：禁止 root、禁止密码，仅允许公钥，采用现代加密算法（ed25519、chacha20-poly1305、后量子密钥交换 sntrup761x25519）。
• AppArmor 安装了额外配置文件，且全部处于 enforce 模式。
• 通过 sysctl 强化内核，挂载点使用 noexec,nosuid,nodev，/proc 使用 hidepid=2。
• 基于 auditd 的完整审计、AIDE 与 debsums 完整性校验、rkhunter 与 ClamAV 反恶意软件，以及与 ufw 集成的 fail2ban。

特有

• SASL 出厂即强制启用： 用户 memcached，每个实例拥有唯一密码（首次启动时为 instance-id），并输出到 EC2 系统控制台 — 从 Bitnami 迁移过来的用户会到这里寻找它。AMI 中不烘焙任何凭据：每个实例都使用全新凭据。
• 11211 端口标配 TLS（最低 TLS 1.2）：每个实例自行签发自签名证书 — EC P-256 密钥，以 instance-id 为 CN，以实例的 IP 和名称为 SAN — 在服务启动之前完成。您也可以安装自己的证书。
• 11212 明文端口仅监听 loopback，供系统工具使用（memcstat 等工具不支持 TLS）。它仍然要求 SASL，且无法从外部访问。
• UDP 被明确禁用（-U 0）：memcached 的 UDP 协议是经典的 DDoS 放大攻击载体。
• 每次启动自动调优： imaxe memcached optimize 根据实际的 CPU 和内存重新计算缓存内存、连接数和线程数 — 停止实例、更换类型、再启动，缓存就会自动重新调整规格。
• 无需重启的 SASL 用户管理： imaxe memcached users add/rotate/delete — SASL 数据库在每次认证时读取，缓存不会被清空。
• 内置 imaxe 工具： 一个 CLI，用于操作服务、凭据、证书和全部加固，无需手动编辑文件。
• 每次发布都执行 Lynis 审计，完整报告发布在本页。

imaxe 模块

预置在这款 AMI 中的 imaxe 工具模块及其文档：

规格与成本 #

这款 AMI 可运行于 AWS 上任何 arm64（Graviton）实例，并自动调整规格：每次启动时，imaxe memcached optimize 将可用内存的 60%（预留 512 MB 给操作系统和代理之后）分配给缓存，并根据实例规格推算线程数和连接数。请按所需缓存容量选择实例类型：内存越大 = 缓存越大，无需改动任何配置。推荐的起步实例是 t4g.medium，本镜像的构建和测试也在其上执行。

Lynis 报告 #

每个已发布版本的 Lynis 加固审计结果：加固指数、警告和建议，附逐行完整报告。

可用版本 #

已在 AWS Marketplace 发布的此 AMI 版本：

生命周期

v2.0 是当前版本，处于活跃维护中：Ubuntu 的安全补丁通过 unattended-upgrades 自动到达实例，我们也按固定节奏在 Marketplace 发布新版本的 AMI，每个版本都有自己的 Lynis 审计。新版本发布后将出现在此表格和更新日志中。

如何启动 AMI #

该 AMI 遵循 EC2 在 arm64（Graviton）实例上的标准启动流程。Marketplace 的安全组只开放一个端口：

启动之后 — SSH： 使用启动时选择的密钥对，以 ubuntu 用户登录。没有可访问的 root 用户，也没有密码认证。缓存凭据： SASL 用户 memcached，初始密码为 instance-id，可在 EC2 系统控制台查看，或通过 SSH 执行：

ssh -i mi-keypair.pem ubuntu@<ip-de-la-instancia>
sudo imaxe memcached credentials      # usuario, password y puerto
imaxe memcached tls show              # huella del certificado de esta instancia

memcstat --binary --servers=127.0.0.1:11212 --username=memcached \
         --password=$(sudo imaxe memcached credentials --show-password --json | jq -r .password)

sudo install -m 0644 -o root -g root mi.crt /etc/memcached/tls/server.crt
sudo install -m 0640 -o root -g memcache mi.key /etc/memcached/tls/server.key
sudo rm -f /etc/memcached/tls/.generated-for   # sin testigo, el módulo no lo toca
sudo systemctl restart memcached

备份与更新 #

• 自动补丁： unattended-upgrades 每天自动应用 Ubuntu 安全更新，无需干预。
• 病毒库： freshclam 每天更新 ClamAV 数据库 24 次。
• 新 AMI： 我们按固定节奏在 Marketplace 发布镜像的更新版本；每个版本发布前都会通过自己的 Lynis 审计。
• 备份：设计上就没有。 Memcached 是易失性缓存：其内容在每次重启时丢失，不应存放任何数据的唯一副本。没有任何东西需要备份或恢复。

故障排查 #

几乎所有工单集中的问题，及其常见原因和解决方法。

常见问题 #

更新日志 #

AMI 的历史。日期对应每个版本在 AWS Marketplace 的发布时间。