Linux 服务器安全加固 10 条最佳实践

2026-08-08

前言

很多人觉得"我一个小服务器没人会来攻击"，但实际上公网的服务器每天都在被扫描。弱密码、未打补丁、开放不必要的端口，都可能成为突破口。

本文分享 10 条简单但有效的安全加固措施，花半小时配置一下，安全性能提升 90%。

1. 修改 SSH 默认端口

默认的 22 端口每天都有无数次暴力破解尝试，改个端口能挡住 99% 的扫描。

1
2
3
4
5
6
7
8
# 编辑 SSH 配置
sudo vi /etc/ssh/sshd_config

# 修改端口
Port 22222

# 重启 SSH 服务
sudo systemctl restart sshd

⚠️ 修改端口后，先不要关闭当前连接，新开一个终端测试一下能否登录，防止自己被关在外面。

2. 禁用 root 登录

直接禁用 root 远程登录，用普通用户 + sudo 的方式：

1
sudo vi /etc/ssh/sshd_config

1
2
PermitRootLogin no
PasswordAuthentication no  # 如果用密钥登录的话

1
sudo systemctl restart sshd

3. 使用 SSH 密钥登录

密钥登录比密码登录安全得多，暴力破解几乎不可能。

生成密钥对（本地电脑执行）

1
2
ssh-keygen -t ed25519 -C "your_email@example.com"
# 一路回车就行，也可以设置密码保护私钥

上传公钥到服务器

1
ssh-copy-id -p 22222 user@your-server-ip

禁用密码登录

1
sudo vi /etc/ssh/sshd_config

1
2
PasswordAuthentication no
PubkeyAuthentication yes

1
sudo systemctl restart sshd

4. 配置防火墙

只开放需要的端口，其他全部关掉。

UFW（Ubuntu 推荐）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
# 安装
sudo apt install ufw -y

# 默认拒绝入站
sudo ufw default deny incoming

# 默认允许出站
sudo ufw default allow outgoing

# 允许 SSH（注意改成你的端口）
sudo ufw allow 22222/tcp

# 允许 HTTP/HTTPS
sudo ufw allow 80
sudo ufw allow 443

# 启用
sudo ufw enable

# 查看状态
sudo ufw status

常用端口清单

端口	服务	按需开启
22	SSH	✅（改端口）
80	HTTP	✅
443	HTTPS	✅
3306	MySQL	❌（只内网用）
6379	Redis	❌（只内网用）
21	FTP	❌（用 SFTP）

5. 定期更新系统

及时安装安全补丁，修复已知漏洞。

1
2
3
4
5
6
7
8
9
# 更新软件包列表
sudo apt update

# 升级安全更新
sudo apt upgrade -y

# 自动安全更新
sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure unattended-upgrades

6. 最小化安装

不需要的服务和软件包都删掉，减少攻击面。

1
2
3
4
5
6
7
8
# 查看监听的端口，确认都认识
ss -tlnp

# 查看开机自启的服务
systemctl list-units --type=service --state=running

# 停用不需要的服务
sudo systemctl disable --now rpcbind

常见可以关的服务：

rpcbind / rpc-statd（NFS 相关，不用就关）
avahi-daemon（局域网发现，不用就关）
cups（打印服务，服务器一般不需要）

7. fail2ban 防暴力破解

自动封禁多次登录失败的 IP，专治 SSH 暴力破解。

1
2
3
4
5
# 安装
sudo apt install fail2ban -y

# 配置
sudo vi /etc/fail2ban/jail.local

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
[DEFAULT]
bantime = 3600    # 封禁 1 小时
findtime = 600    # 10 分钟内
maxretry = 5      # 失败 5 次就封

[sshd]
enabled = true
port = 22222
filter = sshd
logpath = /var/log/auth.log

1
2
3
4
5
6
# 启动
sudo systemctl start fail2ban
sudo systemctl enable fail2ban

# 查看封禁状态
sudo fail2ban-client status sshd

8. 禁用不必要的用户

检查系统中有没有陌生的用户，删除不需要的账号。

1
2
3
4
5
6
7
8
# 查看所有用户
cat /etc/passwd

# 锁定用户
sudo usermod -L username

# 删除用户
sudo userdel -r username

9. 日志与监控

记录访问日志，配置监控告警，出事了能追溯。

配置日志轮转

1
2
# 限制 journald 大小
sudo vi /etc/systemd/journald.conf

1
2
[Journal]
SystemMaxUse=100M

简单的登录告警

可以写个简单的脚本，有用户登录时发邮件/通知。

1
2
# ~/.bashrc 末尾加
echo "[$(date)] 用户 $USER 登录了服务器" | mail -s "服务器登录告警" your@email.com

10. 定期备份

最后一道防线：数据备份。

备份策略

数据：每天自动备份，保留最近 7 天
配置：改完就备份
异地备份：重要数据至少一份不在本机

简单备份脚本示例

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
#!/bin/bash
BACKUP_DIR="/backup"
DATE=$(date +%Y%m%d)

# 备份网站
tar -czf $BACKUP_DIR/web-$DATE.tar.gz /var/www/

# 备份 MySQL
mysqldump -u root -pPASSWORD --all-databases | gzip > $BACKUP_DIR/db-$DATE.sql.gz

# 删除 7 天前的备份
find $BACKUP_DIR -name "*.tar.gz" -mtime +7 -delete
find $BACKUP_DIR -name "*.sql.gz" -mtime +7 -delete

配合 crontab 每天自动执行。

总结

优先级	措施	难度	效果
⭐⭐⭐⭐⭐	改 SSH 端口	⭐	90% 攻击
⭐⭐⭐⭐⭐	密钥登录	⭐⭐	防暴力破解
⭐⭐⭐⭐	UFW 防火墙	⭐	减少攻击面
⭐⭐⭐⭐	fail2ban	⭐⭐	自动封禁
⭐⭐⭐	系统更新	⭐	修复漏洞
⭐⭐⭐	定期备份	⭐⭐	最后防线
⭐⭐	禁用 root	⭐	提高门槛
⭐⭐	最小化安装	⭐⭐	减少攻击面

安全是个体系，不是靠一招鲜。以上措施都做了，小服务器的安全性基本就够用了。

没有绝对的安全，但可以让攻击者觉得你太难啃，换个目标 🛡️