一、SSH 安全配置：改端口、禁 Root、密钥认证

SSH 是你和服务器之间的唯一大门。所有安全加固都应该从这扇门开始——加固它的锁芯、换掉门牌号、取消万能钥匙。下面三步，按照顺序执行，不跳步。

1.1 创建一个普通用户（在关掉 root 之前）

如果你把 root 登录关了却没建好普通用户，等于自己把自己锁在门外。先建用户，再关门。

# 新建用户（将 "youruser" 替换为你的用户名）
adduser youruser

# 将用户加入 sudo 组
usermod -aG sudo youruser

# 切换到新用户，测试 sudo 是否正常
su - youruser
sudo whoami
# 输出应为 "root"

确认 sudo 正常工作后，接下来配制 SSH 密钥认证——这意味着你需要在自己本地的电脑上生成一对密钥，并把公钥上传到服务器。这样之后就可以彻底告别密码登录。

1.2 配置 SSH 密钥认证

在你本地电脑上（不是服务器），执行以下命令生成 ED25519 密钥对（比 RSA 更快更安全）：

# 本地电脑执行（Windows/Mac/Linux 均可）
ssh-keygen -t ed25519 -C "your-email@example.com"

一路回车即可。默认会在 ~/.ssh/id_ed25519 生成私钥，~/.ssh/id_ed25519.pub 生成公钥。然后把公钥上传到服务器：

# 本地电脑执行——把公钥复制到服务器
ssh-copy-id -i ~/.ssh/id_ed25519.pub youruser@你的服务器IP

# 如果没有 ssh-copy-id，可以手动操作：
# cat ~/.ssh/id_ed25519.pub | ssh youruser@服务器IP "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

现在你应该可以不用密码登录服务器了。测试一下：

ssh youruser@你的服务器IP
# 如果直接进入系统而不需要输入密码，说明密钥认证成功

确认密钥登录正常后，不要急着关密码登录——先改 SSH 端口，因为改端口过程中如果断连，你还能用原端口回来。

1.3 修改 SSH 监听端口

默认 22 端口是自动化扫描的重灾区。把它换成一个高位端口（10000–65535 之间的任意值），能过滤掉 90% 以上的无差别扫描流量。注意选择未被系统服务占用的端口，建议范围 2222–9999。

# 编辑 SSH 配置文件
sudo nano /etc/ssh/sshd_config

# 找到 #Port 22 这一行，取消注释并修改为：
Port 2222  # 示例端口，建议用你自己的高位端口

改完端口之后，千万不要立刻重启 SSH 服务。你需要先确保防火墙允许新端口通过，否则一封端口自己就连不上了。防火墙部分详见第二节。这里先继续完成 SSH 主配置。

1.4 禁用 root 登录与密码认证

继续编辑 /etc/ssh/sshd_config，修改以下关键参数：

# === 必改安全参数 ===
PermitRootLogin no              # 禁止 root 直接 SSH 登录
PasswordAuthentication no       # 禁止密码登录（只用密钥）
PubkeyAuthentication yes        # 启用公钥认证
AuthorizedKeysFile .ssh/authorized_keys

# === 加固型推荐参数 ===
Protocol 2                      # 强制使用 SSH 协议版本 2
MaxAuthTries 3                  # 每次连接最多尝试 3 次认证
MaxSessions 2                   # 单 IP 最大并发连接数
ClientAliveInterval 300         # 每 300 秒发一次心跳包
ClientAliveCountMax 2           # 心跳失败 2 次即断开
AllowUsers youruser             # 仅允许指定用户登录（白名单！）

确认所有配置无误后，验证配置文件语法并重启 SSH 服务：

# 验证配置语法
sudo sshd -t
# 若无输出，说明语法正确

# 重启 SSH 服务
sudo systemctl restart sshd

# 确认新端口已监听
sudo ss -tlnp | grep 2222

至此，SSH 层面的三道防线已经就位：非标准端口过滤盲扫流量、密钥认证取代弱密码、禁用 root 消除最高权限的爆破目标。

二、防火墙：UFW / iptables 基础规则

防火墙是 VPS 的第二道防线。SSH 配置决定「谁」能进门，防火墙决定「哪些门」对外开放。对于大多数 Linux 新手，UFW（Uncomplicated Firewall）是最友好的选择——它是 iptables 的前端，语法简单且不容易出错。

在此之前要特别提醒：如果你使用了 Docker 或其他容器技术，容器默认会绕过 UFW 规则直接暴露端口。这种情况在你运行 docker run -p 8080:8080 时尤为常见——端口 8080 会出现在公网上，哪怕你的 UFW 规则明确拒绝了它，这是一个容易被忽略且后果严重的坑。解决方案可以参考本站另一篇详解：Docker 端口映射后防火墙失效？6 种方案彻底解决端口暴露问题。

2.1 UFW 安装与基础规则

# 安装 UFW（通常已预装）
sudo apt update && sudo apt install ufw -y

# === 默认策略：拒绝所有入站，允许所有出站 ===
sudo ufw default deny incoming
sudo ufw default allow outgoing

# === 仅开放必要端口 ===
sudo ufw allow 2222/tcp comment 'SSH'    # 按你改的端口来
sudo ufw allow 80/tcp                     # HTTP
sudo ufw allow 443/tcp                    # HTTPS

# 如果运行 Web 应用或 API，按需开放：
# sudo ufw allow 8080/tcp comment 'App'

# === 启用防火墙 ===
sudo ufw --force enable

# 查看规则
sudo ufw status verbose

UFW 的默认入站拒绝策略意味着：除非你明确 allow，否则任何外部请求都到不了你的服务。这是一个「白名单」模型——对服务器来说是最安全的姿态。

2.2 IPv6 防火墙（如果你有 IPv6 地址）

很多新手只配置了 IPv4 防火墙，完全忽略了 IPv6 的暴露面。如果你的 VPS 分配了 IPv6 地址，攻击者可以通过 IPv6 绕过所有 IPv4 规则直接访问你的服务。

# 确保 UFW 同时管理 IPv6
sudo nano /etc/default/ufw
# 确认 IPV6=yes

# 重载配置
sudo ufw reload

2.3 iptables 视角下的等效规则（进阶理解）

如果你不用 UFW 而想直接操作 iptables，等效规则如下。建议初学者仍使用 UFW——直接写 iptables 的手误成本很高：

# iptables 等效规则（理解用，不要求执行）
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 持久化（需安装 iptables-persistent）
sudo apt install iptables-persistent -y
sudo netfilter-persistent save

三、Fail2ban：防暴力破解的自动化守卫

SSH 改端口和密钥认证已经挡住了 95% 的攻击尝试，但剩下的 5% 会带着更精准的字典、更慢的节奏来撞你的门。Fail2ban 的角色就是那个守夜人——盯着日志，发现某个 IP 在短时间内失败太多次，就临时把它关进 iptables 小黑屋。

3.1 安装与基础配置

# 安装
sudo apt update && sudo apt install fail2ban -y

# 复制默认配置为本地配置（不要直接改 jail.conf）
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑本地配置
sudo nano /etc/fail2ban/jail.local

在 jail.local 中找到 [DEFAULT] 区块，配置全局参数：

[DEFAULT]
# 封禁时间：600 秒（10 分钟）
bantime = 600
# 10 分钟内，允许的最大失败次数
findtime = 600
maxretry = 5

# 封禁动作：使用 iptables 来 ban IP（兼容 IPv4/IPv6）
banaction = iptables-multiport

# 忽略本机
ignoreip = 127.0.0.1/8 ::1

# 如果某 IP 反复被封，可阶梯式增加时长（需要在 action.d 中配置，此处略）

# 你自己的 IP / 白名单 IP（可选）
# ignoreip = 127.0.0.1/8 ::1 你的固定IP/32

3.2 配置 SSH jail

Fail2ban 预置了 SSH 监狱（jail）。由于我们改了 SSH 端口，需要告诉它新端口号：

[sshd]
enabled = true
port    = 2222              # 改为你的 SSH 端口
logpath = %(sshd_log)s
backend = %(sshd_backend)s
maxretry = 3                # SSH 更激进——3 次失败就封
bantime  = 3600             # 封 1 小时

3.3 启动与验证

# 重启服务
sudo systemctl restart fail2ban
sudo systemctl enable fail2ban

# 查看当前 jail 状态
sudo fail2ban-client status

# 查看 sshd jail 的具体封禁情况
sudo fail2ban-client status sshd

部署后几分钟内，你就可以用这条命令看到已被封禁的 IP 列表：

# 查看所有被 ban 的 IP
sudo fail2ban-client banned

对于一台公开暴露的 VPS，即便 SSH 端口设在了高位且启用了密钥认证，Fail2ban 依然不是多余的——它还能保护 Nginx、Apache 等服务免受 HTTP 暴力扫描的侵扰。只需在 jail.local 中为对应服务启用 jail 即可：

[nginx-http-auth]
enabled  = true
port     = http,https
maxretry = 3
bantime  = 1800

如果你对安全有更高要求，Fail2ban 只是第一层自动化防御。后续可以考虑通过 Cloudflare Access 为服务加上企业级身份鉴权，具体可以阅读本站的深入教程：Cloudflare Access + Tunnel 双保险：为内网穿透增加企业级安全鉴权。

四、自动安全更新：unattended-upgrades

安全漏洞不是「发布那天」最危险，而是「CVE 公开后你没打补丁的那几天」最危险。自动化的安全更新是最后一道兜底防线——你的 VPS 不应该因为忘了跑 apt upgrade 而被已知漏洞击穿。

4.1 安装并启用

# 安装
sudo apt update && sudo apt install unattended-upgrades -y

# 启用自动更新（选择 "Yes"）
sudo dpkg-reconfigure -plow unattended-upgrades

4.2 精细配置

编辑 /etc/apt/apt.conf.d/50unattended-upgrades，按需调整以下重点参数：

// 仅自动安装安全更新（推荐！）
// 取消注释 security 源，保持 updates/proposed/backports 注释掉
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
    // "${distro_id}:${distro_codename}-updates";  // 非安全补丁，手动更新更稳
};

// 自动清理旧内核和软件包
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

// 更新后自动重启（仅内核更新需要重启时）
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "03:00";  // 凌晨 3 点，业务低峰

// 发邮件通知（需要配置 mailx/sendmail）
// Unattended-Upgrade::Mail "admin@example.com";

另一项容易被忽略的配置是 /etc/apt/apt.conf.d/20auto-upgrades，它控制着 apt update 的频率：

APT::Periodic::Update-Package-Lists "1";        // 每天检查更新
APT::Periodic::Unattended-Upgrade "1";           // 每天执行自动升级
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";            // 每 7 天清理一次

4.3 手动测试自动更新是否正常

# 模拟运行——不实际安装，只看会更新什么
sudo unattended-upgrades --dry-run --debug

至此，你的 VPS 在「漏洞公开 → 补丁可用 → 自动安装」这条链路上的延迟最多不超过 24 小时。对于绝大多数非关键基础设施场景，这个速度已经足够快。

五、进阶加固：禁用多余服务、普通用户与定期备份

5.1 禁用不必要的网络服务

每多一个监听端口的服务，就多一个攻击面。用下面的命令审视一下你的 VPS 到底在听哪些端口：

# 查看所有监听中的 TCP/UDP 端口
sudo ss -tulnp

常见可以关闭的服务和对应命令：

5.2 sudo 的安全增强

即便你的普通用户已经是 sudo 组成员，也应该对 sudo 的行为做一些约束：

# 编辑 sudoers 文件（务必用 visudo，不要直接改）
sudo visudo

# 添加或取消注释以下行：
Defaults  env_reset                    # 重置环境变量，防止注入
Defaults  mail_badpass                 # 有人输错密码时通知 root
Defaults  secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
Defaults  logfile="/var/log/sudo.log"  # 记录所有 sudo 命令
Defaults  insults                      # 每次输错密码嘲讽你（可选，但不妨碍加点幽默感）

5.3 限制共享内存访问

加固 /etc/fstab 以减少某些类型的本地提权攻击面：

# 编辑 fstab
sudo nano /etc/fstab

# 添加以下行（在已有的挂载点之外）
tmpfs /run/shm tmpfs defaults,noexec,nosuid 0 0

完成后执行 sudo mount -a 使配置生效。

5.4 定期备份策略

安全配置做得再好，也防不住硬盘故障、误删数据库、或者被勒索软件加密数据后的决策难题。备份是安全体系中的「终极保障」——它不是阻止攻击，而是确保攻击发生后你有能力恢复。

最简单的日常备份方案是用 rsync 把关键目录同步到另一台机器或云端存储。以下是一个最小化的每日备份脚本：

#!/bin/bash
# /usr/local/bin/daily-backup.sh
# 每天凌晨 2 点通过 cron 执行

BACKUP_DIR="/backup/$(date +%Y%m%d)"
mkdir -p "$BACKUP_DIR"

# 备份关键目录
rsync -avz /etc/                     "$BACKUP_DIR/etc/"
rsync -avz /var/log/                 "$BACKUP_DIR/var-log/"
rsync -avz /home/youruser/           "$BACKUP_DIR/home/"

# 备份数据库（以 MySQL 为例）
# mysqldump -u root --all-databases > "$BACKUP_DIR/all-databases.sql"

# 压缩
tar -czf "$BACKUP_DIR.tar.gz" -C /backup "$(date +%Y%m%d)"
rm -rf "$BACKUP_DIR"

# 保留最近 7 天的备份
find /backup -name "*.tar.gz" -mtime +7 -delete

# 赋予执行权限并加入 cron
chmod +x /usr/local/bin/daily-backup.sh
(crontab -l 2>/dev/null; echo "0 2 * * * /usr/local/bin/daily-backup.sh") | crontab -

如果服务器承载的是正式上线项目，备份策略应该至少包含三种介质（本地、异地、离线）中的两种。对于自建站点，最低限度也建议把数据库和配置文件定期同步到对象存储（如 S3 兼容服务），并在重要操作前手动做一次快照。

说到服务器隐私保护，如果你的 VPS 上运行着多个 Web 服务或自建邮件系统，源站 IP 的暴露面也需要纳入考量。本站有一篇专门讲这个的文章：搭建 Postfix SMTP 中继隐藏源站 IP，保护服务器隐私——和本文的 SSH 加固配合使用，能形成从「端口→服务→IP」三层纵深防御。

六、适合安全实践的 VPS 推荐

本文中的所有安全配置，都需要一台拥有 root 权限的 VPS 来实践。如果你是第一次接触 Linux 服务器安全，强烈建议在低价 VPS 上先动手练一遍——配坏了可以随时销毁重建，成本不过几毛钱。

入门首选：Vultr

Vultr 是按小时计费的 KVM 虚拟化 VPS，最低配置 $2.5/月（仅 IPv6）或 $6/月（含 IPv4）。最大的优势是随时开随时删——练习安全配置时如果把自己锁在门外，在控制台一键销毁重建即可，完全不用担心浪费月租。全球 30+ 个数据中心，支持快照备份、自定义 ISO、VNC 控制台（救砖必备），所有功能都直接对新手友好。

性价比之选：RackNerd

RackNerd 以节日促销价格闻名，$10–$20/年就能拿到 1GB 内存以上的 KVM VPS，性价比极高。适合拿来做长期的安全沙盒、个人博客、或者监控节点。控制面板是标准的 SolusVM，支持重装系统和 VNC，安全配置翻车了也不用发愁。

进阶开发：DigitalOcean

DigitalOcean 的 Droplet 起价 $4/月，但它的周边生态比低价厂商丰富得多：内置的 Cloud Firewall 可以在 VPS 外层再套一层防火墙规则，等于硬件级的额外安全层；完善的 API 让你可以把安全配置脚本化、自动化部署。如果你是 DevOps 方向的进阶用户，DO 的整套工具链非常值得体验。

以上三家我都实际使用过一年以上，它们共有的特点是：KVM 虚拟化（意味着你能拿到真正的内核控制权，这对 iptables/Fail2ban 的正常运行至关重要）、VNC 控制台（安全配置失败的最后救命稻草）、以及快照/备份功能（做高风险操作前的安全网）。

七、常见问题 FAQ

sudo fail2ban-client set sshd unbanip 你的被封IP