Levi Blog

1. 账号与权限#

1. 新建普通运维用户，禁用 root 直连。
2. 给运维用户最小化 sudo 权限。
3. 删除不必要系统账户，关闭无用登录 shell。

1
adduser levi
2
usermod -aG sudo levi
3
passwd -l root

2. SSH 最小暴露面#

编辑 /etc/ssh/sshd_config：

1
PermitRootLogin no
2
PasswordAuthentication no
3
PubkeyAuthentication yes
4
ChallengeResponseAuthentication no
5
MaxAuthTries 3
6
LoginGraceTime 20

重启前务必开一个新终端测试，确认密钥可登录，再执行：

1
sudo systemctl restart sshd

3. 防火墙白名单#

默认拒绝入站，只放行必要端口（如 22/80/443）。

1
sudo ufw default deny incoming
2
sudo ufw default allow outgoing
3
sudo ufw allow 22/tcp
4
sudo ufw allow 80/tcp
5
sudo ufw allow 443/tcp
6
sudo ufw enable

4. 自动安全更新#

• Debian/Ubuntu：启用 unattended-upgrades
• RHEL 系：启用 dnf 自动更新策略

核心目的是降低“已知漏洞窗口期”。

5. 登录失败防护#

安装 Fail2ban，拦截暴力破解来源 IP。

1
sudo apt install fail2ban -y
2
sudo systemctl enable --now fail2ban

建议至少启用 sshd jail，并设置合理封禁时长。

6. 服务最小化#

执行一次服务盘点：

1
sudo ss -tulpen
2
sudo systemctl list-unit-files --type=service

任何你“不知道为何存在”的公网监听端口，都应先停用再确认。

7. 日志与审计#

至少保证：

• SSH 登录日志可追踪
• sudo 操作可追踪
• 系统日志按周期轮转

建议保留最近 30-90 天安全日志，便于追溯异常。

8. 备份与恢复演练#

安全不只是“防入侵”，也包括“可恢复”。

• 配置每日快照或异地备份
• 每月至少做一次恢复演练
• 备份内容包含站点、数据库、证书、关键配置

常见错误#

1. 先关密码登录，后配密钥，导致自己被锁在门外。
2. 防火墙规则一次性改太多，误封 22 端口。
3. 只做备份，不做恢复验证。

总结#

把基线做完再部署业务，你的服务器抗风险能力会提升一个量级。 对于个人站点，这 12 项已经能覆盖绝大多数常见攻击面。

延伸阅读#

• SSH 密钥安全指南
• Nginx 502/504 排错指南
• Uptime Kuma 监控实战