服务器基础加固指南

服务器刚开通别急着跑业务，先做这 6 步加固。不然被扫到弱密码、爆破成功，哭都来不及。

一、更新系统

sudo apt update && sudo apt upgrade -y

新机器先把补丁打全，修复已知漏洞。

二、创建普通用户

不要用 root 日常操作：

sudo adduser ops
sudo usermod -aG sudo ops

给 ops 用户配置 SSH 密钥（把你的公钥加进去）：

sudo mkdir -p /home/ops/.ssh
sudo nano /home/ops/.ssh/authorized_keys
# 粘贴你的公钥，保存
sudo chown -R ops:ops /home/ops/.ssh
sudo chmod 700 /home/ops/.ssh
sudo chmod 600 /home/ops/.ssh/authorized_keys

确认能用 ops+密钥登录后，再禁用 root 远程登录：

sudo nano /etc/ssh/sshd_config
# 找到 PermitRootLogin，改为：
PermitRootLogin no
# 找到 PasswordAuthentication，改为（只用密钥登录）：
PasswordAuthentication no
sudo systemctl restart sshd

三、配置防火墙 UFW

sudo apt install ufw -y
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22
sudo ufw allow 80
sudo ufw allow 443
sudo ufw enable

只开放 SSH、HTTP、HTTPS，其他端口一律不进。

四、安装 fail2ban 防爆破

sudo apt install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

默认配置就能防 SSH 爆破：5 分钟内失败 5 次，封 IP 10 分钟。看封了谁：

sudo fail2ban-client status sshd

五、开启自动更新

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure -plow unattended-upgrades

安全补丁自动打，不用每次手动。

六、设置 Swap（小内存机器）

1G 内存的机器建议加 2G Swap，防止内存爆掉：

sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

加固检查清单

• ☐ 系统已更新到最新
• ☐ root 禁止 SSH 登录
• ☐ 只用密钥登录，禁用密码
• ☐ UFW 已启用，只开放必要端口
• ☐ fail2ban 运行中
• ☐ 自动更新已开启
• ☐ 小内存机器已加 Swap

本文为杰哥的折腾笔记原创教程，转载请注明出处。