Shirone

第 1 步：安全组只开必要端口（云厂商层面）#

安全组是云平台的虚拟防火墙，规则在系统之外生效——就算系统内防火墙没配，安全组也能兜底。原则：默认全拒，按需放行。

一台 Web 服务器的典型放行清单：

数据库 3306、Redis 6379、管理面板端口永远不要对公网开放，内部访问走 VPC 内网。SSH 来源限制为固定 IP 段是性价比最高的一条规则，直接砍掉 99% 的爆破流量。

第 2 步：创建普通用户，告别 root 日常操作#

1
adduser deploy
2
usermod -aG sudo deploy        # Debian/Ubuntu；RHEL 系是 wheel 组

此后所有日常操作用 deploy 登录，需要特权时 sudo。直接以 root 工作，一个手滑的 rm -rf 就没有任何挽回余地。

第 3 步：SSH 密钥登录，关掉密码#

在本地生成密钥（如果还没有）：

1
ssh-keygen -t ed25519 -C "deploy@myserver"
2
ssh-copy-id deploy@服务器IP

验证密钥能登录后，修改服务器 /etc/ssh/sshd_config：

1
PasswordAuthentication no       # 禁用密码登录
2
PermitRootLogin no              # 禁止 root 直接登录
3
PubkeyAuthentication yes

改完务必新开一个终端验证能登录，再关掉旧会话——配置写错又断开会话，就只能靠云厂商的 VNC 控制台救场了。

1
sudo sshd -t                    # 语法检查
2
sudo systemctl reload ssh

关于改 SSH 端口（如 2222）：它能减少日志噪音，但对有目的的扫描者作用有限（全端口扫描照样找到）。可做可不做；如果改，记得同步更新安全组。

第 4 步：fail2ban 封禁爆破 IP#

即使有密钥登录，爆破流量仍会灌满日志。fail2ban 监控日志，把反复失败的 IP 自动拉进防火墙黑名单：

1
sudo apt install fail2ban
2
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

jail.local 中调整 sshd 段：

1
[sshd]
2
enabled = true
3
maxretry = 5
4
findtime = 10m
5
bantime = 1h

含义：10 分钟内失败 5 次，封禁 1 小时。启动并查看状态：

1
sudo systemctl enable --now fail2ban
2
sudo fail2ban-client status sshd

第 5 步：系统防火墙（ufw）作为第二道门#

安全组在云侧，ufw 在系统侧，两层独立互备：

1
sudo ufw default deny incoming
2
sudo ufw default allow outgoing
3
sudo ufw allow 22/tcp            # 若改了 SSH 端口则填新端口
4
sudo ufw allow 80/tcp
5
sudo ufw allow 443/tcp
6
sudo ufw enable
7
sudo ufw status verbose

第 6 步：开启自动安全更新#

系统漏洞补丁不及时打，前面的加固都是沙上筑塔。Debian/Ubuntu 用 unattended-upgrades 自动安装安全更新：

1
sudo apt install unattended-upgrades
2
sudo dpkg-reconfigure -plow unattended-upgrades   # 交互式确认开启

默认只自动更新安全源（security），不动功能更新——这个平衡对服务器正合适。

第 7 步：时间同步与基础可观测#

• 确认 timedatectl 显示 NTP 同步正常——证书验证、日志时间线、排障对齐全依赖准确时间。
• 顺手装上排障工具：apt install htop iotop ncdu mtr-tiny。
• 在云平台控制台配置监控告警（CPU、磁盘、带宽），这是系统外的一层眼睛。

加固完成后的自查#

1
ss -tlnp                         # 监听端口是否与预期一致，没有多余服务
2
grep "PasswordAuthentication" /etc/ssh/sshd_config
3
sudo fail2ban-client status      # jail 是否生效
4
sudo ufw status

对照清单逐项打钩。安全不是一次性动作——定期检查登录日志（journalctl -u ssh）、关注所用软件的安全公告，才是常态。

延伸阅读#

• Ubuntu 官方文档：OpenSSH Server
• fail2ban 官方文档
• CIS Benchmarks（系统加固基线）