服务器到手先做这 6 个安全设置
服务器首次使用应完成密码或密钥、管理端口访问控制、系统更新和备份检查。不同安全措施处理不同风险，没有统一百分比保证。
1）立刻改密码（或用密钥）
Linux 改 root 密码：
passwd
- 密码建议：长度 ≥ 16，包含大小写+数字+符号，不要用生日/手机号。
- 更稳的是 SSH 密钥登录（适合有运维经验的用户）。
2）改 SSH 端口（可选，但能减少被扫）
把 SSH 改到一个高位端口（例如 22222）：
不要直接用通用替换命令覆盖SSH配置。先备份配置、核对现有Port与Include设置，在新端口放行后使用sshd -t检查配置语法；确认新连接可用后才关闭旧入口。
注意
- 改端口前先在安全组放行新端口（例如 22222/tcp），再重启 sshd。
- 确认新端口能连上后，再考虑关闭 22 端口。
3）只放行你需要的端口（最关键）
- 只做网站：开放 80/443，SSH 只给自己用（22 或自定义端口）。
- 不需要的端口一律不开放（数据库 3306/6379 默认不要公网开放）。
- 能做“指定 IP 放行”就更好：SSH 只允许你的办公 IP 或固定出口。
4）开启防爆破（fail2ban / 面板安全工具）
Linux 常用 fail2ban：
# Debian/Ubuntu
apt-get update && apt-get install -y fail2ban
systemctl enable --now fail2ban
# CentOS/Rocky/Alma
yum install -y epel-release fail2ban
systemctl enable --now fail2ban
apt-get update && apt-get install -y fail2ban
systemctl enable --now fail2ban
# CentOS/Rocky/Alma
yum install -y epel-release fail2ban
systemctl enable --now fail2ban
- 安装fail2ban不代表已经保护实际SSH端口；需核对当前系统的jail、日志路径、实际端口与启用状态，并检查运行结果。
5）更新系统与基础组件（别让老漏洞拖后腿）
# Debian/Ubuntu
apt-get update && apt-get -y upgrade
# CentOS/Rocky/Alma
yum -y update
apt-get update && apt-get -y upgrade
# CentOS/Rocky/Alma
yum -y update
- 更新后建议重启一次，确保内核/服务生效。
6）备份至少做一个（否则丢数据只能认）
- 最少做一次整站备份：网站目录 + 数据库。
- 更稳：设置每天/每周自动备份到对象存储或异地服务器。
- 备份要“能恢复”才算数：建议至少验证一次恢复流程。
快速自检（30 秒）
- SSH 密码已改（或已启用密钥）。
- 安全组只放行必要端口（80/443/SSH）。
- 数据库端口未公网开放。
- 已启用防爆破（fail2ban 或面板安全工具）。
- 系统已更新。
- 已存在可用备份。