刚买的云服务器别裸奔：五步完成基础安全加固

这类问题看似简单，真追问下去还挺绕。轻量服务器安全加固设置，一次讲透。

第一步：先改 SSH 默认配置，别让 22 端口成突破口

拿到服务器第一件事不是装宝塔，而是处理登录入口。默认的 root + 密码 + 22 端口组合，是自动化爆破脚本的最爱。

• 改端口：把 SSH 从 22 改成高位端口（如 52200 以上），能过滤掉大量无差别扫描。
• 禁密码登录，改用密钥：本地生成密钥对，公钥上传到 ~/.ssh/authorized_keys，然后在 /etc/ssh/sshd_config 中设置 PasswordAuthentication no。
• 禁止 root 直登：新建普通用户并加入 sudo 组，设置 PermitRootLogin no，日常操作用普通用户，需要时再提权。
• 改完先别断开：新开一个终端验证能登录，再关闭旧会话，避免把自己锁在门外。

提醒一句，改端口后记得同步放通防火墙规则，否则新端口连不上，只能去控制台走 VNC 救援。

看完概念之后如果准备下单，优惠券领取里可以先把券领到手。

第二步：防火墙只放行必要端口，默认拒绝

安全组和系统防火墙是两道门，两道都要管。建站通常只需放通 80/443，SSH 用你改后的端口，其余一律拒绝。

腾讯云轻量应用服务器的防火墙在控制台可视化配置，比 iptables 友好得多。系统内再配合 ufw 或 firewalld 做一层兜底，形成“云平台安全组 + 主机防火墙”双保险。数据库、Redis 这类服务监听地址绑定 127.0.0.1，别图省事开公网。

第三步：系统更新与最小化，减少可攻击面

新买的镜像往往不是最新补丁状态。登录后先执行系统更新（Debian/Ubuntu 用 apt update && apt upgrade，CentOS 系用 yum update），把内核和 OpenSSH 等关键组件补到最新。

同时做减法：卸载用不到的服务，关闭不必要的开机自启项。装得越少，漏洞越少。如果用的是应用模板（轻量支持 WordPress、Typecho、幻兽帕鲁等一键部署），模板自带的组件也要检查版本，别默认“官方模板就一定安全”。

第四步：账号与权限管理，别所有服务都用 root

• 每个服务用独立低权限账号运行，Web 服务不要以 root 启动。
• 密码策略：长度 12 位以上，大小写数字符号混合，禁止复用。
• 安装 fail2ban，对多次登录失败的 IP 自动封禁，配合密钥登录效果更好。
• 定期检查 last、/var/log/auth.log，发现异常登录 IP 及时处理。

对于幻兽帕鲁私服这类场景，官方建议 4 核 16G 配置，开放游戏端口时尽量限定来源，管理面板不要暴露公网。香港节点免 ICP 备案，适合快速上线，但国内访问有一定延迟，建站前想清楚受众在哪。

第五步：备份与监控，给加固上最后一道保险

再小心也可能出意外，备份是最后的底线。轻量服务器支持快照，建议在重大变更前手动打一个；系统内对网站目录和数据库做定时备份，异地存一份。

监控方面，至少开启云监控的 CPU、流量告警，异常飙高往往是挖矿或被入侵的信号。装个轻量的日志分析工具，定期看有没有陌生进程和计划任务（crontab -l）。

不用背参数，理解原理就够了。真正下单时，看的是自己的需求。