VPS 生产安全加固基线指南

导读：当你拿到一台新 VPS 的公网 IP 和初始 root 密码时，机器其实已经 100% 裸奔在公网雷达之下。各大黑客僵尸网络和自动化漏洞扫描爬虫 24 小时全网扫描 22 端口——你甚至刚开机不到半小时，执行 lastb 就能看到数百条来自世界各地的暴力破解记录。
许多新手急于搭建网站或跑 Docker 业务，往往忽略了最关键的安全基线；而有些朋友在配置防火墙或修改 SSH 端口时，由于顺序颠倒或踩中 Ubuntu 24.04 新版 socket 机制，直接导致机器失联变成“断头机”。
本文梳理了一套工业级的新机开箱 10 分钟安全加固标准化作业基线（SOP）：涵盖 ED25519 现代密钥对接入、Ubuntu 22.04/24.04 socket 机制下的安全端口迁移、UFW 极简白名单防御、Debian 12 / Ubuntu 24.04 现代 systemd 环境下的 Fail2ban 防爆破，以及 BBR 加速与内核抗攻击调优，彻底将扫描器与黑客爆破拒之门外！

# 🎯 核心目标与防失联铁律

在正式敲命令之前，请牢记一条价值千金的运维生存铁律：

⚠️ 【绝不可犯的致命错误】：
在整个加固流程全部完成并用新终端成功连接验证之前，绝不要关闭当前已经建立的第一个 SSH 终端窗口！
只要首个连接还在，哪怕新配置写错端口或防火墙拦截，你依然拥有 root 终端随时回滚修复；一旦手快关闭了唯一窗口，就只能去云厂商控制台痛苦地翻 VNC 救援。

完成本指南后，你的 VPS 将具备以下生产级防御能力：

1. 暴露面骤降 99%：SSH 端口脱离公网默认 22 扫描池，阻断 99% 的傻瓜式自动化探测；
2. 绝对阻断密码穷举：基于现代椭圆曲线（ED25519）高强度非对称密钥认证，彻底关闭密码登录；
3. 极简白名单网络屏障：启用 UFW，遵循“默认丢弃全部入站、仅放行生产显式端口”的最小权限原则；
4. 动态主动封禁机制：Fail2ban 毫秒级嗅探鉴权异常，多次尝试失败直接在系统底层丢弃其数据包；
5. 网络性能与抗 SYN 洪泛加固：一键开启 Google BBR 算法，叠加 TCP 协议栈安全参数调优。

# 🖥️ 基础环境与全局变量定义

在敲击命令前，先在服务器终端定义核心变量，后续步骤直接引用，避免手输散乱占位符导致配置笔误：

# ================= 全局参数定义 =================
SSH_PORT="2222"            # 自定义 SSH 安全端口 (建议选 1024~65535 之间未占用端口)
BANTIME="86400"            # Fail2ban 触发后的封禁时长 (秒，86400 即 24 小时)
FINDTIME="600"             # 统计失败次数的滑动时间窗口 (秒，600 即 10 分钟)
MAXRETRY="5"               # 窗口期内允许的最大尝试失败次数
# ================================================

# 💻 第一步：现场初检与系统全量补丁升级

登录新服务器后，首先了解当前系统的底层身份、现有监听端口与遭受扫描的现状。

# 1. 执行现场巡检

🖥️ 【服务器窗口】

echo "=== 1. 系统版本与内核 ==="
cat /etc/os-release | grep -E "PRETTY_NAME|VERSION_ID"
uname -r

echo -e "
=== 2. 内存与磁盘占用 ==="
free -h
df -h /

echo -e "
=== 3. 正在监听的外部端口 ==="
ss -tlnp | grep -v "127.0.0.1"

echo -e "
=== 4. 遭受爆破现场 (最近 5 条登录失败记录) ==="
lastb 2>/dev/null | head -n 5 || echo "暂无失败记录"

如果 lastb 已经出现大量形如 root ssh:notty 185.x.x.x 的记录，证明机器已被公网爬虫命中，加固刻不容缓。

# 2. 静默升级系统全量补丁

将操作系统现有依赖与安全漏洞打满，采用无交互选项防止被升级提示弹窗阻塞：

🖥️ 【服务器窗口】

export DEBIAN_FRONTEND=noninteractive
sudo apt-get update && sudo apt-get upgrade -y -qq -o Dpkg::Options::="--force-confdef" -o Dpkg::Options::="--force-confold"
sudo apt-get install -y curl wget git ufw fail2ban ca-certificates

# 💻 第二步：部署现代 ED25519 密钥对认证（杜绝弱密码）

相比老旧庞大的 RSA-2048/4096，ED25519 算法不仅密钥短、运算速度极快，而且抗碰撞与抗量子攻击能力更胜一筹。

# 1. 在本地电脑生成 ED25519 密钥对

💻 【你自己的电脑（Mac / Linux / Windows PowerShell）】

# 生成专属 ED25519 密钥对 (根据提示可直接回车或设置保护口令)
ssh-keygen -t ed25519 -C "admin@vps-production" -f ~/.ssh/id_ed25519_vps

此操作会在本地 ~/.ssh/ 目录下生成两个文件：

• id_ed25519_vps：私钥（保存在本地，绝不可泄露给任何人或上传到公共库！）
• id_ed25519_vps.pub：公钥（用于下发到 VPS 服务器）

# 2. 将公钥安全部署至服务器

有两种下发方式，任选其一：

# 方式 A：使用 ssh-copy-id 自动一键下发（推荐）

💻 【你自己的电脑】

# 语法：ssh-copy-id -i <本地公钥路径> -p <当前端口> <用户>@<服务器IP>
ssh-copy-id -i ~/.ssh/id_ed25519_vps.pub -p 22 root@YOUR_SERVER_IP

# 方式 B：手动写入服务器（若无 ssh-copy-id 工具）

🖥️ 【服务器窗口】

# 确保 ~/.ssh 目录存在
mkdir -p ~/.ssh
chmod 700 ~/.ssh

# 将你的公钥文本追加至 authorized_keys (替换引号内的文本)
cat << 'EOF' >> ~/.ssh/authorized_keys
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI...公钥完整内容... admin@vps-production
EOF

# 严格赋予 600 权限 (权限过宽会被 SSH 守护进程强制拒识)
chmod 600 ~/.ssh/authorized_keys

# 3. 本地验证密钥连通性

不要急着关密码！先在本地电脑新开一个终端测试密钥登入：

💻 【你自己的电脑】

ssh -i ~/.ssh/id_ed25519_vps -p 22 root@YOUR_SERVER_IP

核验标准：终端无需输入密码直接成功登入，或仅提示输入私钥保护口令，说明密钥部署 100% 成功。

# 💻 第三步：安全迁移 SSH 端口（攻克 Ubuntu 24.04 socket 机制）

修改 SSH 端口是打乱公网盲扫的第一道护城河。但很多同学在 Ubuntu 22.04 / 24.04 上遇到了诡异现象：改了 /etc/ssh/sshd_config 里的 Port，重启服务后依旧在 22 端口监听！

根因曝光：新版 Ubuntu 默认开启了 systemd socket activation（通过 ssh.socket 接管监听）。直接改配置文件会被 socket 单元静默覆盖。

# 1. 通用安全配置写入

我们先在 SSH 主配置中声明新端口与安全选项：

🖥️ 【服务器窗口】

# 备份旧配置
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 在 /etc/ssh/sshd_config.d/ 写入覆盖配置 (优于直接改原文件，方便后续系统升级合并)
sudo tee /etc/ssh/sshd_config.d/99-hardening.conf << EOF
# 自定义 SSH 安全端口
Port ${SSH_PORT}

# 协议与安全策略
Protocol 2
LoginGraceTime 30
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2

# 禁用空密码与 X11 转发
PermitEmptyPasswords no
X11Forwarding no
EOF

# 2. 核心避坑：适配 Ubuntu 22.04 / 24.04 ssh.socket

检查服务器是否正在使用 ssh.socket：

🖥️ 【服务器窗口】

systemctl is-active ssh.socket 2>/dev/null || echo "not-using-socket"

• 情况 A：如果输出 active（Ubuntu 22.04 / 24.04）：
  推荐直接禁用 socket 单元，恢复为经典的独立 ssh.service 守护进程管理模式，彻底杜绝端口分歧：

  BASH 复制

  # 停止并禁用 socket 单元
  sudo systemctl stop ssh.socket
  sudo systemctl disable ssh.socket
  
  # 启用并重启传统 ssh.service
  sudo systemctl enable ssh.service
  sudo systemctl restart ssh.service

• 情况 B：如果输出 unknown 或 not-using-socket（Debian 11/12、CentOS、旧版 Ubuntu）：
  直接重载标准 ssh 守护进程：

  BASH 复制

  # 测试配置文件语法是否有误
  sudo sshd -t && sudo systemctl restart ssh || sudo systemctl restart sshd

# 3. 现场核验端口监听

🖥️ 【服务器窗口】

sudo ss -tlnp | grep ssh

核验标准：必须能看到已成功监听 0.0.0.0:${SSH_PORT} 或 *:${SSH_PORT}！

# 💻 第四步：配置 UFW 极简白名单防火墙（零失联守则）

UFW（Uncomplicated Firewall）是 iptables 的现代化轻量封装。

⚠️ 【高能警告：防失联操作准则】：
永远遵循：先放行当前 SSH 新端口 ➔ 再放行旧端口（过渡） ➔ 最后才开启防火墙！
严禁直接 ufw enable，否则新旧端口一并被杀，瞬刻断网！

# 1. 配置规则并放行端口

🖥️ 【服务器窗口】

# 1. 明确默认行为：入站全封，出站全开
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 2. 核心：优先放行自定义 SSH 端口
sudo ufw allow ${SSH_PORT}/tcp comment "SSH-Custom-Port"

# 3. 放行常用 Web 服务端口 (根据你的业务按需开启)
sudo ufw allow 80/tcp comment "HTTP"
sudo ufw allow 443/tcp comment "HTTPS"

# 4. 激活防火墙
echo "y" | sudo ufw enable

# 2. 检查防火墙状态

🖥️ 【服务器窗口】

sudo ufw status verbose

确认你的 ${SSH_PORT} 处于 ALLOW IN Anywhere 列表中。

# 💻 第五步：部署 Fail2ban 自动封禁爆破 IP（攻克 Debian 12 / Ubuntu 日志陷阱）

即使修改了端口，某些全面端口扫描器依然可能扫到你的 SSH。Fail2ban 充当智能哨兵，负责动态封杀恶意 IP。

新手第二大死穴：现代 Debian 12 和 Ubuntu 24.04 移除了传统的 rsyslog，不再产生 /var/log/auth.log。默认配置的 Fail2ban 启动会疯狂报错 Failed to find a valid backend 并直接罢工！

# 1. 编写生产级 jail.local 配置

我们要显式指定日志后端为 systemd，无缝对接现代 Linux 日志体系：

🖥️ 【服务器窗口】

sudo tee /etc/fail2ban/jail.local << EOF
[DEFAULT]
# 忽略白名单 IP (可填入你的本地固定宽带 IP 或跳板机 IP，空格隔开)
ignoreip = 127.0.0.1/8 ::1

# 封禁时长与触发阈值
bantime  = ${BANTIME}
findtime = ${FINDTIME}
maxretry = ${MAXRETRY}

# 封禁动作：使用 ufw 直接丢弃数据包
banaction = ufw
banaction_allports = ufw

[sshd]
enabled  = true
port     = ${SSH_PORT}
mode     = normal

# 关键：指定现代 systemd 日志流，完美兼容 Debian 12 & Ubuntu 24.04
backend  = systemd
EOF

# 2. 启动与开机自启 Fail2ban

🖥️ 【服务器窗口】

sudo systemctl enable fail2ban
sudo systemctl restart fail2ban

# 检查运行状态
sudo systemctl status fail2ban --no-pager

# 3. 验证 Fail2ban 监狱探针

🖥️ 【服务器窗口】

sudo fail2ban-client status sshd

核验标准：显示 Jail list: sshd，且 Status for the jail: sshd 下监听端口与你的 ${SSH_PORT} 完全一致。

# 💻 第六步：彻底封死密码登录（关门落锁）

现在，你的 SSH 新端口畅通、ED25519 密钥正常、UFW 防火墙就绪、Fail2ban 哨兵在岗。可以执行加固的终极一步：彻底拔掉密码登录的网线。

# 1. 写入绝对禁用密码策略

🖥️ 【服务器窗口】

sudo tee /etc/ssh/sshd_config.d/99-disable-password.conf << EOF
# 严禁密码认证 (仅允许密钥登入)
PasswordAuthentication no
ChallengeResponseAuthentication no
KbdInteractiveAuthentication no

# 严禁 root 通过密码远程登录 (密钥允许)
PermitRootLogin prohibit-password
EOF

# 2. 测试配置并平滑重载

🖥️ 【服务器窗口】

# 测试语法
sudo sshd -t

# 平滑重载 (不中断当前现有会话)
sudo systemctl reload ssh 2>/dev/null || sudo systemctl reload sshd

# 💻 第七步：开启 Google BBR 与内核抗攻击调优

网络性能是业务的底座。Linux 5.x+ 内核已原生支持 Google BBR 拥塞控制算法，不仅能显著提升单线程传输速率与吞吐量，还能有效降低弱网丢包抖动。同时，我们同步注入抵御 SYN Flood 拒绝服务攻击的内核加固参数。

# 1. 写入生产网络优化配置

🖥️ 【服务器窗口】

sudo tee /etc/sysctl.d/99-security-bbr.conf << 'EOF'
# ================= 网络安全加固 =================
# 开启 SYN 洪水抵御 Cookie
net.ipv4.tcp_syncookies = 1
# 增加 SYN 半连接队列长度
net.ipv4.tcp_max_syn_backlog = 4096
# 缩短等待 FIN 超时，加速释放死连接
net.ipv4.tcp_fin_timeout = 30
# 允许将 TIME_WAIT 状态的套接字复用于新 TCP 连接
net.ipv4.tcp_tw_reuse = 1
# 禁用 IP 源路由选择 (防止路由劫持伪造)
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

# ================= 拥塞控制调优 (BBR) =================
# 设置默认排队调度算法为 fq
net.core.default_qdisc = fq
# 设置 TCP 拥塞控制算法为 bbr
net.ipv4.tcp_congestion_control = bbr
EOF

# 2. 现场重载并核验 BBR

🖥️ 【服务器窗口】

sudo sysctl --system

# 验证 BBR 是否已成为当前拥塞控制主力
sysctl net.ipv4.tcp_congestion_control
lsmod | grep bbr 2>/dev/null || sysctl net.ipv4.tcp_available_congestion_control

核验标准：输出 net.ipv4.tcp_congestion_control = bbr，即刻享受现代化流畅网络栈！

# 🔍 验证测试：阶梯核实验收（新终端直通）

此时，服务器端的配置已全部落地。请保持原服务器窗口不动，在本地电脑新开一个终端窗口进行全链路闭环验收：

# 1. 尝试使用密码登录（预期被拒）

💻 【你自己的电脑】

# 强制指定密码鉴权，尝试连接新端口
ssh -o PubkeyAuthentication=no -p YOUR_SSH_PORT root@YOUR_SERVER_IP

预期结果：服务器直接提示 Permission denied (publickey)，无法触发任何密码输入提示。

# 2. 使用 ED25519 密钥直连（预期秒通）

💻 【你自己的电脑】

ssh -i ~/.ssh/id_ed25519_vps -p YOUR_SSH_PORT root@YOUR_SERVER_IP

预期结果：秒级进入服务器命令提示符，零阻碍通畅！

# 3. 查看生产防护状态汇总

🖥️ 【服务器窗口】

echo "=== 防火墙状态 ===" && sudo ufw status
echo -e "
=== Fail2ban 状态 ===" && sudo fail2ban-client status sshd
echo -e "
=== 拥塞控制算法 ===" && sysctl net.ipv4.tcp_congestion_control

至此，原窗口终于可以安全放心关闭，你的新 VPS 已经披上了坚不可摧的铠甲！

# 🚨 翻车急救站（常见避坑 FAQ）

# Q1：自己的电脑 IP 不小心触发了 Fail2ban，被自己关在门外怎么办？

• 自愈方案：
  1. 通过手机 4G/5G 热点切换一个不同的公网 IP，重新 SSH 登入；
  2. 或登录云厂商 Web 控制台打开 VNC 救援窗口；
  3. 执行解封指令：
     BASH 复制

     # 查看当前被封禁的 IP 列表
     sudo fail2ban-client status sshd
     # 手动解封被锁定的目标 IP
     sudo fail2ban-client set sshd unbanip YOUR_OFFICE_OR_HOME_IP

  4. 将你的本地出口 IP 追加到 /etc/fail2ban/jail.local 中的 ignoreip 参数后，执行 systemctl restart fail2ban。

# Q2：修改了 SSH 端口并重启后，UFW 忘了放行，直接失联了怎么办？

• 自愈方案：
  1. 登录云厂商控制台的 VNC 终端（此时内网控制台不受外网防火墙影响）；
  2. 输入登录密码或本地控制台凭证；
  3. 执行紧急放行指令：
     BASH 复制

     sudo ufw allow 2222/tcp
     sudo ufw reload

# Q3：Debian 12 / Ubuntu 24.04 下 Fail2ban 启动日志报错 Failed to find a valid backend？

• 根因：系统精简掉了 rsyslog，没有 /var/log/auth.log。
• 自愈方案：在 /etc/fail2ban/jail.local 的 [sshd] 块下显式添加 backend = systemd，让 Fail2ban 直接从 journald 内存流水中抓取认证事件，无需生成落盘文本日志。

# 📋 毕业打钩自检清单

• 本地电脑已成功生成 id_ed25519_vps 密钥对，并完成公钥推送
• 服务器 ~/.ssh 权限为 700，authorized_keys 权限为 600
• 针对 Ubuntu 22.04/24.04 已妥善接管 ssh.socket，确保新端口生效
• UFW 严格遵循“先放行 ${SSH_PORT}、再启用防火墙”防断网操作
• Fail2ban 配置了 backend = systemd，状态为 active 且准确监听新端口
• /etc/ssh/sshd_config.d/ 中已显式配置 PasswordAuthentication no
• BBR 算法与抗 SYN Flood 内核调优参数已完成 --system 重载
• 本地新开独立终端完成密钥免密登入真机演练验收