VPS 安全检查清单：加固新服务器的 12 个步骤

VPS 安全检查清单是你在每台新服务器上放置重要内容之前都要执行的一组步骤：锁定 SSH、启用防火墙、保持系统更新、限制运行的服务，并确保能够恢复。自动化机器人会在几分钟内开始探测新的 IP 地址，因此第一个小时比之后的任何调优都重要。

以下步骤假设你使用带 root 权限的 Linux VPS，例如 Ubuntu 或 Debian。命令仅为示例，请根据你的发行版调整。按顺序执行，修改登录设置时保持第二个 SSH 会话处于打开状态，以免一个失误把自己锁在门外。

为什么新 VPS 需要加固

虚拟专用服务器给你完全的控制权，也意味着完全的责任。与共享主机不同，没有人替你修补软件包或监控登录。现实中的大多数入侵并不是高明的漏洞利用，而是简单的疏忽：弱 SSH 密码、过时的 Web 应用、暴露的数据库端口，或被遗忘的测试服务。

第一个小时：8 个必做步骤

1. 全面更新——运行 apt update && apt upgrade（或你发行版的对应命令），如果内核有变化就重启。
2. 创建非 root 用户——添加一个有 sudo 权限的用户，日常工作用它而不是 root。
3. 使用 SSH 密钥——在本地电脑生成密钥对，用 ssh-copy-id 把公钥复制到服务器。
4. 禁用密码和 root 登录——在 /etc/ssh/sshd_config 中设置 PasswordAuthentication no 和 PermitRootLogin no，在另一个会话中测试密钥登录后再重启 SSH。
5. 启用防火墙——用 ufw 只放行需要的端口，例如 ufw allow OpenSSH、ufw allow 80,443/tcp，然后 ufw enable。
6. 开启自动安全更新——在 Debian/Ubuntu 上安装并启用 unattended-upgrades。
7. 安装 fail2ban——它会封禁反复登录失败的 IP，减缓暴力破解。
8. 设置时区和主机名——正确的时间戳让日志和证书更可靠。

持续加固：再做 4 步

1. 删除不用的东西——卸载不需要的软件包，停止不需要的服务。用 ss -tulpn 检查监听端口。
2. 数据库保持私有——把 MySQL、PostgreSQL 或 Redis 绑定到 127.0.0.1 或内网，绝不暴露到公网。
3. 异地备份——把备份复制到其他位置，并测试恢复。同一台机器上的快照不算备份。
4. 监控日志和资源——查看认证日志，设置简单的在线状态和磁盘空间告警，排查异常的 CPU 峰值。

清单一览

保护 Web 层

如果 VPS 托管网站，应用本身往往是最薄弱的环节。保持 CMS、插件和框架最新，用免费证书启用 HTTPS，并让每个站点以独立的系统用户运行，这样一个站点被攻破也无法读取其他站点。为域名添加 CAA 记录，只允许你选定的证书颁发机构签发证书，并参考将域名指向 VPS指南正确解析域名。

API 密钥和数据库密码等机密应保存在权限受限的环境变量文件中，绝不要放在公开的网站目录或 Git 仓库里。

团队与多管理员的访问管理

服务器很少长期只有一个用户。一旦同事、外包人员或部署工具需要访问，你分发凭据的方式就成了安全的一部分。

• 每人一把密钥——每位管理员都有自己的账户和 SSH 密钥。绝不在团队中共享 root 密码或同一把密钥。
• 自动化使用独立密钥——CI 流水线和备份任务使用各自的密钥，并限制在所需的命令或目录内。
• 当天收回权限——有人离开项目时立即删除其用户和密钥，每季度审查 authorized_keys 文件。
• 记录特权操作——sudo 会记录谁执行了什么，便于追查错误和事件。
• 同样保护控制面板——服务商账户可以重装或删除服务器，请使用强且唯一的密码，并在可用时开启两步验证。

怀疑被入侵时怎么办

• 不要立刻删除证据，先做快照或复制日志。
• 更换所有接触过该服务器的密码和 SSH 密钥。
• 检查陌生的用户、cron 任务、SSH 密钥和进程。
• 如有疑虑，用干净镜像重建，并从事件发生前的备份恢复数据。

用 mistREG VPS 打好安全基础

mistREG 在斯洛文尼亚（欧盟）提供基于 NVMe SSD 和 AMD EPYC 硬件的 KVM VPS。KVM 为每台服务器提供独立内核，你可以随意使用任何防火墙、内核参数或安全工具。开通全自动：付款后约 60 秒，IP 地址和 root 密码就会出现在面板中，随时可以按本清单操作。详见离岸 VPS 主机指南。

注册账户，用加密货币或银行卡充值，并在套餐页面选择服务器。有疑问？可在 Telegram @mistnetwork 联系我们的团队。