前言

接触 VPS 也四年多了, 对于如何保护自己的 VPS, 也总结出一些经验, 于是写个帖子分享一下, 集思广益嘛. 做到下面的安全措施, 除非被针对性攻击, 否则服务器安全完全不是问题.

提前说一嘴, 我个人是手动管理一切, 所以 Nginx 等的配置文件都是手搓的(大家玩鸡迟早也会过渡到这一阶段). 很多新手用的宝塔, 包括我一开始也是, 方便是方便, 代价也很大. 宝塔本身权限太高, 炸个零日漏洞就是大问题, 更不用说是闭源的, 背后干啥也不知道, 会收集服务器信息上传之类的传闻也是有的. 所以逐渐熟悉 Linux 操作后我就不用了. 所以, 本文当中的命令, 建议在全新的系统中执行, 特别是新手吃不准命令的含义的时候. 当然, 如果是老手, 一看就懂啦, 我也只是总结一下.

要完全做到安全是不可能的, 绝大多数人也不是网络安全从业者, 本帖主要面向新手扫盲, 别犯会被脚本小子利用的问题就好.

以下教程涉及的命令均基于 Debian 12. 此处约定: {} 及其括起来的内容为根据你实际情况需要替换的文本内容, 括起来的内容为说明, 如 ssh {user}@{server ip} 为 ssh 连接服务器的命令, 假设用户为 root, 服务器 IP 为 114.5.1.4, 则为 ssh [email protected]

系统更新

• 新机器到手, 应当立即进行软件包更新, 下面的教程将默认在系统所有软件包处于最新状态

apt update && apt upgrade -y && apt dist-upgrade -y && apt full-upgrade -y && apt autoremove -y

更新完成后建议重启一下: reboot

• 仍然使用 Debian 10 或更旧版本的, 建议升级到 Debian 11 / 12. Debian 12 在我自己的 1c0.5g 的机器上也能流畅运行, 所以大可放心, 或者只升级到 Debian 11 问题不大. Debian 10 的 LTS 支持将在 June 30th, 2024 结束, 建议在此之前升级.

注意:

• 升级大版本/更新内核是有一定机率导致 GRUB 加载失败进而启动失败的, 除非你是物理服务器, 以及没有用过奇奇怪怪定制或修改的内核的 KVM 构架的 VPS 和云主机. 切记备份重要数据!
• OpenVZ 6 和 LXC 构架的 VPS 是无法升级的，因为没有自己独立的内核(所以, 除非灵车别碰 LXC, 老老实实买 KVM 虚拟化的机器)
• 再强调一遍: 一定要备份重要数据!
• 不要跨大版本升级, 一步步来, 例如从 Debian 9 升级 Debian 11, 先升级到 10, 再升级到 11, 依此类推.

Ref: Debian 10 升级 Debian 11 Ref: Debian 11 升级 Debian 12

完成系统更新后, 就可以下一步了.

SSH 安全篇

TL,DR: 务必配置密钥登陆, 避免使用密码登陆, 更不用说弱密码!

1. 配置密钥登陆

建议本地生成公私钥再手动上传公钥, 不要把 SSH 登陆私钥扔服务器上!

• 下列操作在本地 Powershell 执行
  • 执行 ssh-keygen -o -a 256 -t ed25519, 此处 ed25519 是加密算法的一种, 不用理会. 提示输入将私钥保存在哪里, 默认保存在 C:\Users\{your user name}/.ssh/, 文件名 id_ed25519