一、暴露在公网的服务器意味着什么
自己折腾Linux 终端美化与 Shell 配置心得：从 bash 到 zsh，把命令行用出顺手和颜值之后，一旦把服务放到公网，就等于每天被全球扫描器“光顾”。Linux 服务器安全不是可选项，而是上线第一件事。本文以「Linux 服务器安全」为主线，分享我从裸机到相对安心的基础加固心得，都是踩过扫描日志后才补上的防线，希望你能提前一步做对。公网 IP 一分配出去，几分钟内就会出现在各种扫描器的目标列表里，别抱侥幸心理。
1.1 先看一眼谁在敲门
用 journalctl -u sshd 或翻 /var/log/auth.log，你会发现密密麻麻的暴力破解尝试，来自世界各地。知道威胁长什么样，才知道该堵哪个口，也才不会盲目自信“我的密码很强”。看到那些不断尝试 root 登录的日志，你就会明白默认配置有多危险。
二、第一道闸：SSH 改端口 + 禁密码登录
默认 22 端口是爆破重灾区，改成高位随机端口能挡掉大部分自动化脚本；更关键的是禁用密码登录、只留密钥登录（且密钥设密短语）。关于Linux 软件安装怎么选才不踩坑？包管理器与 AppImage/Flatpak/Snap 的取舍心得，密钥登录一旦配好，密码爆破就彻底失效，这是性价比最高的加固，没有之一。密钥相当于一把唯一的电子钥匙，比任何复杂密码都难被猜中。
2.1 别把自己锁在外面
改 SSH 配置前，务必另开一个会话测试能连上再退出当前会话；改端口后防火墙要先放行新端口再重启 sshd，顺序错了就真进不去了。我曾因此不得不去云控制台用 VNC 救场，白白浪费半小时。这个教训值得每个运维新手记牢：先验证再断开。
三、防火墙只开必要的口
用 ufw 或 firewalld 默认拒绝入站，只放行 22（或新 SSH 端口）、80、443 等必须的端口。数据库、Redis 这类管理端口千万别对公网开放，曾有无数机器因 Redis 裸奔被植入挖矿程序。和Linux 桌面环境怎么选？GNOME、KDE、XFCE 的脾气与适用场景心得的收敛思路一致：暴露面越小越安全，能不对外开放的绝不开放。原则就一句：不知道要不要开，就先关着。
3.1 默认拒绝原则
不要“开几个再关几个”，而要“全关再开需要的”。前者容易漏，后者默认安全。云厂商的安全组也要同步收紧，主机防火墙和安全组是双层，缺一不可。两层都配置看似麻烦，但能避免一层配错就裸奔的尴尬。
四、自动封禁与更新
fail2ban 能根据失败日志自动封 IP，对暴力破解效果立竿见影；系统补丁也要及时更，很多入侵利用的是已知已修复的漏洞。设个自动更新或定期手动更新都行，别裸奔太久，漏洞窗口期越短越安全。fail2ban 配上改端口和密钥登录，三层防护基本挡住绝大多数自动化攻击。
五、小结
Linux 服务器安全的基础三件套：改 SSH 端口 + 密钥登录、防火墙收敛端口、fail2ban 自动封禁，再加定期更新。做到这几条，普通扫描和爆破基本伤不到你，剩下才是更高阶的纵深防御，比如入侵检测、文件完整性监控，那是后话。先把基础做扎实，再谈进阶，安全是循序渐进的事。别指望一步到位把服务器变成铜墙铁壁，那既不现实也没必要，先把基础三件套做扎实，挡住绝大多数自动化攻击，就已经比绝大多数裸奔机器安全了。等基础稳了，再考虑进阶：比如用 SSH 证书加两步验证、部署入侵检测监控异常登录、对关键目录做文件完整性校验、定期做漏洞扫描。每一步都建立在前面稳固的基础上，而不是孤立地上工具。还有个常被忽略的点：人也是安全的一环，弱密码、把密钥随便发群里、用同一套密码到处用，都会让前面所有技术加固打了折扣。安全是技术加习惯的组合拳，两边都做好，服务器才能真正睡得安稳。再补一条常被忽视的：默认账号和弱口令。很多服务器被攻破不是因为漏洞，而是 root 密码太简单，或者还开着默认账户没禁用。除了前面说的密钥登录，还应该创建一个普通用户加 sudo 提权，日常操作就用普通用户，需要时才 sudo，把爆炸半径降到最低。数据库、Redis、Elasticsearch 这类带管理端口的服务，除了不对外网开放，最好还设上强密码或绑定内网地址，别让它们在公网“裸奔”。安全的本质就是不断把“可能的入口”收口，每收一个就少一分风险，基础三件套加上账号治理，普通机器基本就稳了。如果你的服务器跑着网站或接口，别忘了应用层也要有基本防护：比如用 Web 防火墙挡扫描、给管理后台加访问限制、定期备份数据到异地。系统层和应用层是两道防线，缺了哪一层都不踏实。安全没有终点，保持“默认最小暴露”的心态，每次新增一个服务就顺手收一遍端口和权限，机器自然越来越稳。把安全当成习惯而不是任务，你的服务器会安静地替你工作很久，而不是动不动就告警、被黑、忙着救火。省下的这些心力，才是加固最大的回报。
暂无评论内容