Linux 服务器初始化安全配置完全指南 2026：买完 VPS 必做的 12 件事

1
# 一键下载并运行（先阅读脚本内容再执行！）
2
curl -fsSL https://raw.githubusercontent.com/your-repo/vps-init/main/init.sh | bash
3

4
# 或者按本文逐步操作（推荐，理解每一步）

1
# 以 root 用户登录后立即执行
2
apt update && apt upgrade -y
3

4
# 安装常用工具
5
apt install -y \
6
  curl wget vim git unzip zip \
7
  net-tools htop iotop \
8
  lsof tmux \
9
  ca-certificates gnupg

1
# 创建新用户（替换 yourname 为你想要的用户名）
2
adduser yourname
3

4
# 将用户加入 sudo 组
5
usermod -aG sudo yourname
6

7
# 切换到新用户验证
8
su - yourname
9
sudo whoami   # 应输出 root
10
exit          # 返回 root 用户

1
# 备份原始配置
2
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
3

4
# 编辑 SSH 配置
5
vim /etc/ssh/sshd_config

1
# /etc/ssh/sshd_config 关键配置项
2

3
# 修改 SSH 端口（避开默认 22 端口，减少自动扫描）
4
Port 22222              # 改成 10000-65535 之间的自定义端口
5

6
# 禁用 root 直接登录
7
PermitRootLogin no      # 必须！通过普通用户 + sudo 操作
8

9
# 禁用密码登录（只允许密钥登录）
10
PasswordAuthentication no
11

12
# 禁用基于挑战的密码（关联认证方式）
13
ChallengeResponseAuthentication no
14
KbdInteractiveAuthentication no
15

16
# 空闲连接超时（300 秒无操作自动断开）
17
ClientAliveInterval 300
18
ClientAliveCountMax 2
19

20
# 限制登录尝试次数
21
MaxAuthTries 3
22

23
# 只允许特定用户 SSH 登录（可选）
24
AllowUsers yourname
25

26
# 禁用 X11 转发（不需要图形界面时关闭）
27
X11Forwarding no

1
# 验证配置语法
2
sshd -t
3
# 无输出表示配置正确
4

5
# 重启 SSH 服务（使用新端口后，新开终端测试！）
6
systemctl restart sshd
7

8
# 在当前窗口不要关闭，新开终端测试新端口能否登录
9
ssh -p 22222 yourname@your.server.ip

1
# 安装 UFW（Debian/Ubuntu 通常已预装）
2
apt install -y ufw
3

4
# 默认策略：拒绝所有入站，允许所有出站
5
ufw default deny incoming
6
ufw default allow outgoing
7

8
# ── 放行必要端口 ──────────────────────────────────────────────
9
ufw allow 22222/tcp    # SSH（改成你在第 4 步设置的端口！）
10
ufw allow 80/tcp       # HTTP
11
ufw allow 443/tcp      # HTTPS
12
ufw allow 443/udp      # HTTPS（QUIC/Hysteria2 需要 UDP）
13

14
# 按需放行其他服务端口（例）
15
# ufw allow 8080/tcp   # 自定义 Web 服务
16
# ufw allow 5432/tcp   # PostgreSQL（生产环境不推荐，用 SSH 隧道代替）
17

18
# 启用防火墙（会显示警告，确认输入 y）
19
ufw enable
20

21
# 查看当前规则
22
ufw status verbose

1
# 常用 UFW 管理命令
2
ufw status           # 查看状态
3
ufw disable          # 临时禁用（不清空规则）
4
ufw allow from 1.2.3.4 to any port 22222  # 只允许特定 IP 连 SSH
5
ufw delete allow 80/tcp  # 删除规则
6
ufw reload           # 重载规则

1
apt install -y fail2ban
2

3
# 创建本地配置文件（不要修改 .conf 文件，会被升级覆盖）
4
cat > /etc/fail2ban/jail.local << 'EOF'
5
[DEFAULT]
6
# 封禁时间（秒）：3600 = 1 小时
7
bantime  = 3600
8
# 统计时间窗口（秒）：10 分钟内的失败次数
9
findtime = 600
10
# 允许失败次数：超过 3 次就封
11
maxretry = 3
12
# 封禁动作：ufw（需要已启用 UFW）
13
banaction = ufw
14

15
[sshd]
16
enabled  = true
17
port     = 22222    # 与你的 SSH 端口一致
18
logpath  = %(sshd_log)s
19
backend  = %(sshd_backend)s
20
maxretry = 3
21
EOF
22

23
systemctl enable fail2ban
24
systemctl restart fail2ban
25

26
# 查看封禁状态
27
fail2ban-client status sshd
28
# 查看被封禁的 IP
29
fail2ban-client status sshd | grep "Banned IP"
30

31
# 手动解封某个 IP
32
fail2ban-client set sshd unbanip 1.2.3.4

1
# 检查当前拥塞算法
2
sysctl net.ipv4.tcp_congestion_control
3
# 如果输出 bbr 则已开启，无需操作
4

5
# 开启 BBR
6
cat >> /etc/sysctl.conf << 'EOF'
7

8
# BBR 拥塞控制
9
net.core.default_qdisc = fq
10
net.ipv4.tcp_congestion_control = bbr
11
EOF
12

13
sysctl -p
14

15
# 验证
16
sysctl net.ipv4.tcp_congestion_control
17
# 输出：net.ipv4.tcp_congestion_control = bbr ✅
18
lsmod | grep bbr
19
# 输出：tcp_bbr ... ✅

1
# 查看当前时区
2
timedatectl
3

4
# 设置为北京时间（UTC+8）
5
timedatectl set-timezone Asia/Shanghai
6

7
# 或者 UTC（推荐国际化部署的服务器）
8
timedatectl set-timezone UTC
9

10
# 验证时间同步（systemd 内置 NTP 客户端）
11
timedatectl show-timesync --no-pager
12
timedatectl status
13

14
# 如果需要更精确的 NTP（可选）
15
apt install -y chrony
16
systemctl enable --now chrony
17
chronyc tracking   # 查看同步状态

1
apt install -y unattended-upgrades apt-listchanges
2

3
# 启用自动更新配置
4
dpkg-reconfigure -plow unattended-upgrades
5
# 选择 Yes
6

7
# 自定义配置（可选）
8
cat > /etc/apt/apt.conf.d/50unattended-upgrades << 'EOF'
9
Unattended-Upgrade::Allowed-Origins {
10
    "${distro_id}:${distro_codename}";
11
    "${distro_id}:${distro_codename}-security";
12
    "${distro_id}ESMApps:${distro_codename}-apps-security";
13
    "${distro_id}ESM:${distro_codename}-infra-security";
14
};
15

16
// 自动删除不再需要的依赖
17
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
18
Unattended-Upgrade::Remove-Unused-Dependencies "true";
19

20
// 自动重启（如果内核更新需要）
21
Unattended-Upgrade::Automatic-Reboot "false";   // 生产环境慎开
22

23
// 每天更新日志路径
24
Unattended-Upgrade::SyslogEnable "true";
25
EOF
26

27
# 手动触发一次测试
28
unattended-upgrade --dry-run --debug

1
# 检查当前 Swap 状态
2
free -h
3
swapon --show
4

5
# 创建 2GB Swap 文件（根据内存大小调整：内存的 1-2 倍）
6
fallocate -l 2G /swapfile
7
chmod 600 /swapfile
8
mkswap /swapfile
9
swapon /swapfile
10

11
# 验证 Swap 已激活
12
free -h
13
# Swap 行应显示 2.0G
14

15
# 永久生效（写入 fstab）
16
echo '/swapfile none swap sw 0 0' >> /etc/fstab
17

18
# 调整 Swappiness（建议低内存服务器设为 10，减少不必要的 Swap 使用）
19
echo 'vm.swappiness=10' >> /etc/sysctl.conf
20
echo 'vm.vfs_cache_pressure=50' >> /etc/sysctl.conf
21
sysctl -p

1
cat >> /etc/sysctl.conf << 'EOF'
2

3
# ── 网络优化 ──────────────────────────────────────────────────
4
# 增大 TCP 连接队列
5
net.core.somaxconn = 65535
6
net.ipv4.tcp_max_syn_backlog = 65535
7

8
# TCP 快速回收和重用（提高短连接性能）
9
net.ipv4.tcp_tw_reuse = 1
10
net.ipv4.tcp_fin_timeout = 15
11

12
# 增大系统文件句柄限制
13
fs.file-max = 1000000
14

15
# 开启 IP 转发（代理服务器/VPN 需要）
16
net.ipv4.ip_forward = 1
17

18
# 防止 SYN Flood 攻击
19
net.ipv4.tcp_syncookies = 1
20

21
# ── 内存优化 ──────────────────────────────────────────────────
22
# 脏数据写入磁盘的比例上限
23
vm.dirty_ratio = 10
24
vm.dirty_background_ratio = 5
25
EOF
26

27
sysctl -p

1
# 为当前用户添加常用 alias
2
cat >> ~/.bashrc << 'EOF'
3

4
# ── 实用 Alias ────────────────────────────────────────────────
5
alias ll='ls -alF --color=auto'
6
alias la='ls -A'
7
alias l='ls -CF'
8
alias grep='grep --color=auto'
9

10
# 历史命令带时间戳
11
export HISTTIMEFORMAT="%F %T "
12
export HISTSIZE=10000
13
export HISTFILESIZE=20000
14
# 不记录重复命令和空格开头的命令
15
export HISTCONTROL=ignoreboth:erasedups
16

17
# 安全 rm（防止误删）
18
alias rm='rm -i'
19
alias cp='cp -i'
20
alias mv='mv -i'
21

22
# 服务器状态快捷命令
23
alias ports='ss -tlnp'
24
alias df='df -h'
25
alias du='du -h'
26
alias top='htop'
27
EOF
28

29
source ~/.bashrc
30

31
# 配置 Vim 基本设置
32
cat > ~/.vimrc << 'EOF'
33
set nocompatible
34
set encoding=utf-8
35
set number
36
set tabstop=4
37
set shiftwidth=4
38
set expandtab
39
set autoindent
40
set hlsearch
41
set incsearch
42
set ignorecase
43
set smartcase
44
syntax on
45
EOF

1
# ── 验证脚本 ──────────────────────────────────────────────────
2
echo "=== SSH 配置验证 ==="
3
grep -E '^(Port|PermitRootLogin|PasswordAuthentication)' /etc/ssh/sshd_config
4

5
echo "=== 防火墙状态 ==="
6
ufw status verbose | head -20
7

8
echo "=== Fail2ban 状态 ==="
9
fail2ban-client status sshd 2>/dev/null || echo "Fail2ban 未运行"
10

11
echo "=== BBR 验证 ==="
12
sysctl net.ipv4.tcp_congestion_control
13

14
echo "=== Swap 状态 ==="
15
free -h | grep Swap
16

17
echo "=== 时区 ==="
18
timedatectl | grep "Time zone"
19

20
echo "=== 系统运行中的服务 ==="
21
systemctl list-units --type=service --state=running | grep -E '(ssh|fail2ban|ufw|unattended)'