如何加固新VPS:安全检查清单

全新的 VPS 在上线后几分钟内就会暴露在自动化攻击面前——本清单将引导你完成开局第一小时的加固工作,确保服务器始终掌握在你自己手中。

每一台新服务器一开始都存在相同的弱点:默认的 root 登录、仅靠密码认证的 SSH 大门、完全开放的防火墙,以及没有自动打补丁机制。机器人会持续扫描整个 IPv4 地址空间,所以“还没人知道我的 IP”这种想法从来都不成立。

本指南是一份按顺序排列、可直接照做的加固清单。在全新的 Debian 或 Ubuntu 服务器上按从上到下的顺序执行,你将堵住攻击者真正会利用的漏洞,而不是“安全表演”式关注的那些。

动手之前的准备工作

在第一次登录之前做好两个决定,能为你日后节省数小时的时间:准备好 SSH 密钥,并选定一个非 root 的用户名。

1. 1

   生成一个现代化的 SSH 密钥

   在你自己的电脑上运行 ssh-keygen -t ed25519 -C "you@device"。Ed25519 密钥更短、更快,并且比旧式默认的 RSA-2048 更安全。

2. 2

   私钥绝不能留在服务器上

   私钥的那一半永远不会离开你的笔记本电脑,你只需要把 .pub 文件复制到主机上。忘记这条规则,就是很多人把自己逼到不得不重新部署服务器的原因。

3. 3

   记录好你的开通凭证

   大多数服务商会通过邮件发送一个临时的 root 密码,或者在创建服务器时直接注入你的密钥。如果密钥已被注入,你可以直接跳到创建用户这一步。

第一步——先打齐所有补丁,再持续保持更新

未打补丁的内核或 OpenSSL,是任何防火墙规则都无法弥补的漏洞。在配置其他任何东西之前,先完成系统更新。

• Debian/Ubuntu:运行 apt update && apt full-upgrade -y,如果内核发生了变化,随后重启。
• 启用 unattended-upgrades,让安全补丁自动安装:apt install unattended-upgrades && dpkg-reconfigure unattended-upgrades。
• 按你自己掌控的时间表重启——将 Unattended-Upgrade::Automatic-Reboot 设置在一个流量较少的时段,而不是让内核补丁停留在“更新到一半”的状态。

第二步——创建一个真实用户,弃用 root

以 root 身份登录,意味着一旦某次会话被攻破,整台机器就会被完全控制,而且不会留下任何审计记录。你应该为自己创建一个具名的 sudo 账户来代替。

1. 1

   添加用户

   运行 adduser deploy,然后执行 usermod -aG sudo deploy(在 RHEL 系发行版上使用 wheel 组)。

2. 2

   为该用户安装你的密钥

   在你的笔记本电脑上运行:ssh-copy-id deploy@your-server-ip。这会把你的公钥写入 ~/.ssh/authorized_keys,并设置正确的权限。

3. 3

   锁门之前先测试

   打开第二个终端,确认你可以通过 ssh deploy@server 登录并运行 sudo -v。在新会话验证可用之前,切勿禁用 root 或密码认证。

第三步——SSH 加固,这是最关键的一环

SSH 是每一台 VPS 的大门,也是绝大多数自动化登录尝试集中攻击的地方。编辑 /etc/ssh/sshd_config(或者在 /etc/ssh/sshd_config.d/ 中新增一个配置片段),设置以下参数。

先用 sshd -t 验证语法,然后执行 systemctl restart ssh。如果 sshd -t 报错,请先修复问题再重启,否则可能导致 SSH 服务中断。

把 SSH 端口从 22 改成其他端口是可选项,只能减少日志噪音——这只是“隐蔽”,不是“安全”。一旦关闭了 PasswordAuthentication,端口扫描机器人就无从下手,所以应该把精力花在密钥上,而不是玩端口游戏。

第四步——启用默认拒绝的防火墙

即便 SSH 服务已经加固,它依然和机器上其他所有监听中的服务共享同一台主机。防火墙能让“除非我主动开放,否则一律关闭”成为默认状态。

1. 1

   设定基线

   使用 ufw 时:执行 ufw default deny incoming 和 ufw default allow outgoing。

2. 2

   只放行你实际提供的服务

   执行 ufw allow OpenSSH;只有当这台服务器确实承载 Web 流量时,才额外执行 ufw allow 80,443/tcp。

3. 3

   启用并验证

   执行 ufw enable,然后运行 ufw status verbose 查看。凡是未列出的端口,现在都无法从互联网访问。

第五步——用 Fail2ban 拖慢暴力破解

即使已经禁用了密码认证,机器人仍会不断敲门,让你的日志不断膨胀。Fail2ban 会在防火墙层面封禁这些屡次尝试的地址。

• apt install fail2ban——自带的 sshd jail 开箱即用。
• 把 jail.conf 复制为 jail.local,按需调高 bantime(例如 1h)、调低 maxretry(例如 3)。
• 运行 fail2ban-client status sshd 检查是否正常工作,查看被封禁的 IP 数量。

第六步——缩小攻击面

最安全的服务,就是根本没有在运行的服务。审查所有正在监听的服务,并去掉你不需要的部分。

第七步——记录日志、持续监控,了解你的基线状态

加固不是一次性的工作,你需要能够察觉到任何变化。

• 使用 journalctl -u ssh 或 lastb 查看认证活动,排查登录失败记录。
• 可以考虑使用 auditd,为特权操作留下防篡改的记录。
• 为 /etc 和你的数据保留一份服务器之外的备份,这样一旦服务器被攻破,你可以彻底重建一台干净的服务器,而不是事后勉强相信一台可能已被入侵的机器。

服务商本身的重要性

软件层面的加固保护的是操作系统本身,但服务商决定的是底层的一切——网络过滤能力、支付记录,以及服务器是否会与某个身份产生关联。在 ChainVPS,每个套餐都自带 DDoS 过滤和不限流量带宽,服务器费用通过预付费加密货币余额支付,支持包括 Monero 在内的 21 种币种,全程无需 KYC。如果你的威胁模型中包含“不让服务器与本人身份产生关联”这一项,我们的离岸 VPS 套餐正是为此而生。

位置本身也是加固的一部分:我们的十五个地区中,有六个属于隐私友好型司法辖区(NL、CH、RO、IS、MD、LU)。将加固后的操作系统与离岸专用服务器搭配使用,能让软件层面和法律层面都保持紧密可控。

浓缩版:一小时加固清单

• 完成全系统更新,并启用自动安全补丁
• 创建具名 sudo 用户,安装密钥,并测试登录
• 禁用 root 的 SSH 登录以及密码认证
• 使用 sshd -t 验证 SSH 配置并重新加载
• 启用默认拒绝的防火墙,仅开放必要端口
• Fail2ban 已在 sshd jail 上运行
• 审查开放端口,移除未使用的服务
• 建立服务器外备份并进行日志审查