VPS 服务器安全加固完全指南 2026：SSH 防护 + 防火墙 + Fail2ban + 入侵检测

买完 VPS 的当天，全球无数自动化扫描机器人就会开始尝试暴力破解你的 SSH。如果使用默认配置（root 用户 + 密码登录 + 22 端口），你的服务器有可能在几小时内就被攻破。

本文按优先级顺序覆盖 VPS 安全加固的完整步骤，适合个人开发者和小团队运维场景。

快速检查清单#

在进行详细配置前，先用这个清单评估你的服务器当前状态：

1
# 查看当前 SSH 暴力破解尝试次数（最近24小时）
2
grep "Failed password" /var/log/auth.log | wc -l
3

4
# 查看当前正在登录的用户
5
w
6

7
# 查看最近的登录记录
8
last -n 20
9

10
# 查看当前开放的端口
11
ss -tulpn
12

13
# 检查是否有未知 cron 任务
14
crontab -l
15
ls /etc/cron.d/

一、创建非 root 用户#

1
# 创建新用户
2
adduser deploy          # 按提示设置密码
3
usermod -aG sudo deploy # 加入 sudo 组
4

5
# 切换到新用户测试 sudo
6
su - deploy
7
sudo whoami             # 应该输出 root

二、SSH 密钥认证（最重要的单一安全措施）#

2.1 本地生成密钥对#

1
# 在你的本地机器（Mac/Linux）上执行
2
ssh-keygen -t ed25519 -C "your-email@example.com" -f ~/.ssh/vps_key
3
# ed25519 是目前推荐的算法，比 RSA 更安全更短
4

5
# 查看公钥（需要复制到服务器）
6
cat ~/.ssh/vps_key.pub

2.2 将公钥部署到服务器#

1
# 方法一：ssh-copy-id（推荐）
2
ssh-copy-id -i ~/.ssh/vps_key.pub deploy@your-server-ip
3

4
# 方法二：手动复制（如果 ssh-copy-id 不可用）
5
# 在服务器上执行：
6
mkdir -p ~/.ssh
7
chmod 700 ~/.ssh
8
echo "粘贴你的公钥内容" >> ~/.ssh/authorized_keys
9
chmod 600 ~/.ssh/authorized_keys

2.3 本地 SSH 配置#

1
# ~/.ssh/config（本地机器）
2
Host myserver
3
    HostName your-server-ip
4
    User deploy
5
    Port 2222              # 修改后的端口（见下文）
6
    IdentityFile ~/.ssh/vps_key
7
    ServerAliveInterval 60
8
    ServerAliveCountMax 3
9

10
# 以后直接 ssh myserver 即可

2.4 加固 SSH 服务配置#

1
# ⚠️ 修改前确保已能用密钥登录！
2

3
Port 2222                        # 非标准端口（减少扫描机器人攻击）
4
AddressFamily inet               # 仅 IPv4（可选）
5

6
# 禁用 root 直接登录
7
PermitRootLogin no
8

9
# 禁用密码登录（只允许密钥）
10
PasswordAuthentication no
11
ChallengeResponseAuthentication no
12
KbdInteractiveAuthentication no
13

14
# 只允许指定用户 SSH
15
AllowUsers deploy
16

17
# 安全加强选项
18
MaxAuthTries 3                   # 最多3次尝试
19
MaxSessions 5
20
LoginGraceTime 30                # 30秒内完成认证
21
ClientAliveInterval 300          # 5分钟无操作断开
22
ClientAliveCountMax 2
23

24
# 禁用不必要的功能
25
X11Forwarding no
26
AllowAgentForwarding no
27
AllowTcpForwarding no            # 如果不需要 SSH 隧道
28
PermitTunnel no
29
PermitEmptyPasswords no
30

31
# 密码学强化
32
KexAlgorithms curve25519-sha256,diffie-hellman-group14-sha256
33
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
34
MACs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com

1
# 检查配置语法后重启
2
sshd -t && systemctl restart ssh
3

4
# ⚠️ 测试：新开一个终端窗口连接，确保能登录后再关闭当前会话
5
ssh -p 2222 deploy@your-server-ip

三、UFW 防火墙#

1
# 安装 UFW（Ubuntu/Debian 通常预装）
2
apt install ufw -y
3

4
# 默认策略：拒绝入站，允许出站
5
ufw default deny incoming
6
ufw default allow outgoing
7

8
# 开放必要端口（按需添加）
9
ufw allow 2222/tcp comment "SSH non-standard port"
10
ufw allow 80/tcp   comment "HTTP"
11
ufw allow 443/tcp  comment "HTTPS"
12

13
# 开放特定 IP 的访问（例如只允许办公室 IP 访问数据库）
14
ufw allow from 203.0.113.5 to any port 5432 comment "PostgreSQL from office"
15

16
# 限制连接速率（防止暴力破解，一定程度上替代 Fail2ban）
17
ufw limit 2222/tcp comment "Rate limit SSH"
18

19
# 启用防火墙
20
ufw enable
21
ufw status verbose

1
# 常用 UFW 命令
2
ufw status numbered         # 显示规则编号
3
ufw delete 3                # 删除第3条规则
4
ufw delete allow 80/tcp     # 按规则删除
5
ufw reload                  # 重新加载规则
6
ufw disable                 # 禁用（保留规则）
7
ufw reset                   # 完全重置（清空所有规则）

四、Fail2ban（自动封禁暴力破解 IP）#

1
apt install fail2ban -y
2

3
# 创建本地配置文件（不要直接编辑 jail.conf）
4
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

1
# /etc/fail2ban/jail.local（关键配置项）
2
[DEFAULT]
3
# 封禁时间：1小时（生产环境推荐更长）
4
bantime  = 3600
5
# 检测时间窗口：10分钟
6
findtime = 600
7
# 允许失败次数
8
maxretry = 5
9
# 封禁动作：更新 iptables 并发邮件通知（可选）
10
action = %(action_mw)s
11

12
# 使用 systemd journal（现代 Ubuntu 推荐）
13
backend = systemd
14

15
[sshd]
16
enabled  = true
17
port     = 2222          # 改为你实际的 SSH 端口
18
logpath  = %(sshd_log)s
19
maxretry = 3             # SSH 更严格：3次失败即封禁
20
bantime  = 86400         # SSH 封禁24小时
21

22
[nginx-http-auth]
23
enabled  = true
24

25
[nginx-limit-req]
26
enabled  = true

1
# 启动 Fail2ban
2
systemctl enable fail2ban
3
systemctl start fail2ban
4

5
# 常用管理命令
6
fail2ban-client status              # 查看所有 jail 状态
7
fail2ban-client status sshd         # 查看 SSH jail 详情
8
fail2ban-client set sshd banip 1.2.3.4    # 手动封禁 IP
9
fail2ban-client set sshd unbanip 1.2.3.4  # 手动解封 IP
10
fail2ban-client banned              # 列出所有被封 IP

五、自动安全更新#

1
apt install unattended-upgrades -y
2
dpkg-reconfigure --priority=low unattended-upgrades
3

4
# 配置文件
5
cat > /etc/apt/apt.conf.d/50unattended-upgrades << 'EOF'
6
Unattended-Upgrade::Allowed-Origins {
7
    "${distro_id}:${distro_codename}-security";
8
    "${distro_id}ESMApps:${distro_codename}-apps-security";
9
    "${distro_id}ESM:${distro_codename}-infra-security";
10
};
11
// 自动重启（如果内核更新需要）
12
Unattended-Upgrade::Automatic-Reboot "true";
13
Unattended-Upgrade::Automatic-Reboot-Time "03:00";
14
// 邮件通知（可选）
15
Unattended-Upgrade::Mail "admin@example.com";
16
Unattended-Upgrade::MailReport "on-change";
17
EOF
18

19
# 启用自动更新
20
cat > /etc/apt/apt.conf.d/20auto-upgrades << 'EOF'
21
APT::Periodic::Update-Package-Lists "1";
22
APT::Periodic::Download-Upgradeable-Packages "1";
23
APT::Periodic::AutocleanInterval "7";
24
APT::Periodic::Unattended-Upgrade "1";
25
EOF
26

27
# 测试（dry-run）
28
unattended-upgrades --dry-run --debug

六、CrowdSec（社区协防，推荐替代 Fail2ban）#

1
# 安装 CrowdSec
2
curl -s https://install.crowdsec.net | sudo bash
3
apt install crowdsec -y
4

5
# 安装防火墙 bouncer（执行实际封禁动作）
6
apt install crowdsec-firewall-bouncer-iptables -y
7

8
# 查看当前状态
9
cscli hub list                    # 已安装的解析器和场景
10
cscli decisions list              # 当前封禁决策
11
cscli alerts list                 # 告警列表
12
cscli metrics                     # 统计信息
13

14
# 手动添加封禁
15
cscli decisions add --ip 1.2.3.4 --duration 24h --reason "manual block"
16

17
# 查看 CrowdSec 从社区接收的黑名单 IP 数量
18
cscli hub list -t scenario

七、系统审计与入侵检测#

7.1 auditd（操作审计）#

1
apt install auditd -y
2
systemctl enable auditd
3

4
# /etc/audit/rules.d/audit.rules（关键审计规则）
5
cat >> /etc/audit/rules.d/audit.rules << 'EOF'
6
# 监控 /etc/passwd 和 /etc/shadow 修改
7
-w /etc/passwd -p wa -k user-modify
8
-w /etc/shadow -p wa -k user-modify
9
-w /etc/sudoers -p wa -k sudo-modify
10

11
# 监控 SSH 配置修改
12
-w /etc/ssh/sshd_config -p wa -k ssh-config
13

14
# 监控 cron 任务
15
-w /etc/cron.d/ -p wa -k cron-modify
16
-w /var/spool/cron/ -p wa -k cron-modify
17

18
# 监控特权命令执行
19
-a always,exit -F arch=b64 -S execve -F euid=0 -k root-commands
20
EOF
21

22
auditctl -R /etc/audit/rules.d/audit.rules
23
systemctl restart auditd
24

25
# 查询审计日志
26
ausearch -k user-modify -ts today    # 今天对 passwd 的修改
27
ausearch -k root-commands -ts today  # 今天 root 执行的命令
28
aureport --summary                   # 总体统计报告

7.2 rkhunter（Rootkit 检测）#

1
apt install rkhunter -y
2

3
# 首次建立基线（安装后立即运行，记录当前干净状态）
4
rkhunter --update
5
rkhunter --propupd           # 记录文件属性基线
6

7
# 日常扫描
8
rkhunter --check --skip-keypress
9

10
# 设置每日自动扫描（/etc/cron.daily/rkhunter）
11
cat > /etc/cron.daily/rkhunter << 'EOF'
12
#!/bin/bash
13
/usr/bin/rkhunter --cronjob --update --quiet
14
EOF
15
chmod +x /etc/cron.daily/rkhunter

八、系统内核参数加固#

1
cat > /etc/sysctl.d/99-security.conf << 'EOF'
2
# 禁止 IP 转发（不作为路由器时）
3
net.ipv4.ip_forward = 0
4
net.ipv6.conf.all.forwarding = 0
5

6
# 防止 SYN 洪水攻击
7
net.ipv4.tcp_syncookies = 1
8
net.ipv4.tcp_syn_retries = 2
9
net.ipv4.tcp_synack_retries = 2
10

11
# 忽略 ICMP ping（可选，防止被扫描发现）
12
# net.ipv4.icmp_echo_ignore_all = 1
13

14
# 防止 IP 欺骗
15
net.ipv4.conf.all.rp_filter = 1
16
net.ipv4.conf.default.rp_filter = 1
17

18
# 禁用源路由
19
net.ipv4.conf.all.accept_source_route = 0
20
net.ipv4.conf.default.accept_source_route = 0
21

22
# 防止 ICMP 重定向
23
net.ipv4.conf.all.accept_redirects = 0
24
net.ipv4.conf.default.accept_redirects = 0
25
net.ipv4.conf.all.send_redirects = 0
26

27
# 记录可疑数据包
28
net.ipv4.conf.all.log_martians = 1
29
net.ipv4.conf.default.log_martians = 1
30

31
# 内核地址不对外暴露
32
kernel.dmesg_restrict = 1
33
kernel.kptr_restrict = 2
34
EOF
35

36
sysctl -p /etc/sysctl.d/99-security.conf

九、入侵排查速查#

1
# ── 检查当前状态 ────────────────────────────────────────────────
2
who && w                           # 当前登录用户
3
last -n 30                         # 最近30次登录记录
4
lastb -n 20                        # 最近20次登录失败记录
5
ss -tnp                            # 当前已建立的 TCP 连接
6
ss -tulpn                          # 所有监听端口
7

8
# ── 检查异常进程和文件 ────────────────────────────────────────────
9
ps aux --sort=-%cpu | head -20     # CPU 占用最高的进程
10
ps aux --sort=-%mem | head -20     # 内存占用最高的进程
11
ls -la /proc/*/exe 2>/dev/null | grep deleted  # 被删除的可执行文件（常见木马特征）
12

13
# ── 检查可疑文件 ──────────────────────────────────────────────────
14
find /tmp /var/tmp /dev/shm -type f -perm /111 2>/dev/null  # 可执行文件
15
find / -mtime -1 -type f -name "*.sh" 2>/dev/null | head    # 最近1天新建的 .sh
16
find / -perm -4000 -type f 2>/dev/null                       # SUID 文件
17

18
# ── 检查定时任务 ──────────────────────────────────────────────────
19
for user in $(cut -d: -f1 /etc/passwd); do
20
    crontab -u $user -l 2>/dev/null && echo "--- $user ---"
21
done
22

23
# ── 检查启动项 ────────────────────────────────────────────────────
24
systemctl list-units --type=service --state=running
25
ls /etc/systemd/system/          # 自定义 service 文件

相关文章：

本文基于 Ubuntu 24.04 LTS 编写，Debian 系其他发行版命令基本相同。CentOS/RHEL 系请将 apt 替换为 dnf，防火墙工具替换为 firewalld。安全配置不是一劳永逸的，建议每月检查一次系统日志和安全更新状态。