VPS安全加固：这15件事一定要做（我踩过的坑）
我刚买的第一台 VPS，3 天就被黑了，装了挖矿木马。从那以后，我每次装完系统，第一件事就是安全加固。这篇是我踩了很多坑后整理的安全加固清单。
一、基础安全（一定要做）
1. 改 SSH 端口（不要用 22）
默认的 22 端口，全世界的黑客都在扫，改个端口能挡住 99% 的扫描。
注意：改完端口，防火墙也要开放新端口！
2. 禁止 root 登录
root 是超级用户，禁止 root 直接登录，用普通用户登录，再 sudo 提权。
3. 改密码 / 用密钥登录
- 改密码：用强密码，大小写+数字+符号，16 位以上
- 用密钥：最好用密钥登录，比密码安全 100 倍
怎么用密钥登录？
- 本地生成密钥：
ssh-keygen
- 把公钥传到服务器：
ssh-copy-id user@server
- 服务器上禁止密码登录：
4. 更新系统
刚装完系统，先更新一遍，把安全补丁打上：
二、防火墙（一定要开）
5. 开启防火墙
只开需要的端口，其他都关。
Ubuntu（ufw）：
CentOS（firewalld）：
6. 禁用 ping
别人 ping 你的服务器，就知道你这个 IP 是活的，禁用 ping 能隐藏自己。
三、SSH 安全（进阶）
7. 禁止密码登录，只用密钥
前面说了，用密钥登录比密码安全 100 倍。
8. 限制登录尝试（fail2ban）
别人暴力破解你的密码，fail2ban 能自动封他的 IP。
fail2ban 默认就会监控 SSH 登录，失败 5 次就封 IP，很省心。
四、系统安全
9. 删除不必要的软件
刚装完系统，有很多用不到的软件，删掉，减少攻击面。
10. 关闭不必要的服务
用不到的服务，关掉，减少攻击面。
11. 定期备份
重要数据一定要备份，不然被黑了、服务器坏了，数据就没了。
备份什么？
- 网站文件
- 数据库
- 配置文件
备份到哪里？
- 外接硬盘
- 另一台服务器
- 网盘（阿里云、腾讯云）
五、其他
12. 开启日志
出问题了，日志很重要，一定要开。
- /var/log/auth.log：SSH 登录日志
- /var/log/nginx/：Nginx 日志
- /var/log/syslog：系统日志
13. 定期检查
定期看看有没有异常：
- 谁登录了：
last
- 有哪些进程在跑：
ps aux
- 有没有可疑的网络连接：
netstat -tlnp
14. 及时更新
系统和软件要及时更新，打安全补丁：
可以设置自动更新：
15. 不要乱装软件
只装你信任的软件，不要随便装网上下载的脚本、软件，很多有木马。
六、踩坑提醒
- 改 SSH 端口前，先开防火墙：不然改完端口，你自己也登不上去了
- 先测试密钥登录，再关密码登录：不然密钥没配好，密码也关了，就登不上去了
- 定期备份：重要数据一定要备份，安全不是 100% 的
- 不要用弱密码：123456、admin 这种密码，黑客一秒就破解了
- 不要乱开端口：不需要的端口不要开，减少攻击面
你有没有被黑过？有没有什么安全加固的经验？欢迎在评论区分享～
- 作者:墨殇个人博客
- 链接:https://moshang.eu.org/article/3fcdeb47-39da-8119-9f0d-f1a78d193679
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
