VPS安全加固完整教程2026：Ubuntu/Debian从裸奔到堡垒的12步实操指南

未打补丁的已知漏洞是最常见的入侵入口。登录VPS后第一件事就是更新所有软件包：

# Ubuntu/Debian 更新软件包列表并升级所有软件
sudo apt update && sudo apt upgrade -y

# 清理不需要的旧包
sudo apt autoremove -y && sudo apt autoclean复制

建议在升级完成后重启服务器，以加载新内核：

sudo reboot复制

root是Linux的超级管理员账户，权限最大，也是黑客第一个尝试暴力破解的目标。日常操作应该使用普通用户，需要管理员权限时通过sudo临时提升。

# 创建新用户（把 yourname 替换成你想要的用户名）
adduser yourname

# 将用户加入sudo组，获得管理员权限
usermod -aG sudo yourname复制

创建时会要求设置密码并填写一些信息（全填也行，直接回车跳过也行）。设置一个强密码（虽然后面会禁用密码登录，但sudo操作时还需要它）。

创建完成后，保持当前root会话不要断开，新开一个终端窗口用新用户登录测试：

ssh yourname@你的服务器IP复制

能登录并执行 sudo -v 不报错再继续下一步。

密码登录是最大的安全隐患——8位字母数字密码理论上几小时就能被暴力破解，而SSH密钥（尤其是Ed25519）几乎不可能被破解。

3.1 在本地电脑生成密钥对

在你的本地电脑（不是VPS上）执行：

# 生成Ed25519密钥（比传统RSA更安全更快速）
ssh-keygen -t ed25519 -C "your_email@example.com"复制

按提示操作，建议给私钥设置一个passphrase（密钥密码）以增加一层保护。生成后会得到两个文件：

• ~/.ssh/id_ed25519 —— 私钥，保存在本地，绝不泄露给任何人
• ~/.ssh/id_ed25519.pub —— 公钥，需要上传到VPS

3.2 上传公钥到VPS

最简单的方式：

# 在本地电脑执行，自动上传公钥
ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP复制

如果没有ssh-copy-id，可以手动操作：

# 在VPS上（用刚创建的yourname用户）执行
mkdir -p ~/.ssh && chmod 700 ~/.ssh
# 然后把本地公钥内容粘贴到 ~/.ssh/authorized_keys
nano ~/.ssh/authorized_keys
# 设置正确权限（非常重要，权限不对密钥登录会失败）
chmod 600 ~/.ssh/authorized_keys复制

3.3 测试密钥登录

新开终端窗口，不用输入密码就应该能直接登录：

ssh yourname@你的服务器IP复制

确认密钥登录没问题后，再修改SSH配置禁用密码登录和root登录。

# 备份原始配置（好习惯）
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑SSH配置
sudo nano /etc/ssh/sshd_config复制

找到并修改以下配置项（如果不存在就添加）：

# 禁用root用户直接登录
PermitRootLogin no

# 禁用密码认证（密钥登录确认正常后再开启！）
PasswordAuthentication no

# 禁用空密码
PermitEmptyPasswords no

# 只允许我们创建的用户登录（可选但推荐）
AllowUsers yourname

# 修改SSH默认端口（可选但推荐，减少90%暴力破解）
# 建议选10000-65535之间的端口，如 22222
Port 22222

# 限制最大认证尝试次数
MaxAuthTries 3

# 断开空闲会话（10分钟无操作自动断开）
ClientAliveInterval 600
ClientAliveCountMax 0

# 使用更安全的KexAlgorithms和MACs（可选，进一步加固）
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com

保存退出后，先测试配置语法是否正确：

sudo sshd -t复制

没有输出说明配置正确。重启SSH服务：

sudo systemctl restart sshd复制

UFW（Uncomplicated Firewall）是Ubuntu/Debian官方推荐的防火墙前端，简单易用。核心原则是：默认拒绝所有入站连接，只开放明确需要的端口。

# 安装UFW（通常已预装）
sudo apt install ufw -y

# 设置默认策略：拒绝所有入站，允许所有出站
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 放行SSH端口（注意要和你上一步设置的端口一致！）
sudo ufw allow 22222/tcp

# 放行HTTP和HTTPS（做网站需要）
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# 如果你需要其他服务（如FTP、邮件等），按需放行
# sudo ufw allow 25/tcp   # SMTP邮件
# sudo ufw allow 3306/tcp # MySQL（不建议对外开放！）

# 启用防火墙
sudo ufw enable

# 查看状态确认规则
sudo ufw status verbose复制

关于IPv6：确认 /etc/default/ufw 中 IPV6=yes，否则IPv6端口不受防火墙保护。

Fail2ban监控系统日志，发现同一IP多次登录失败等异常行为时，自动调用防火墙封禁该IP一段时间。它是UFW静态规则的有力补充。

# 安装Fail2ban
sudo apt install fail2ban -y

# 创建本地配置（不要直接改jail.conf，更新会被覆盖）
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑SSH防护配置
sudo nano /etc/fail2ban/jail.d/sshd.local复制

写入以下内容（根据你的SSH端口修改port）：

[sshd]
enabled = true
port = 22222
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
findtime = 10m
bantime = 1h
banaction = ufw

参数解释：

• maxretry = 3：10分钟内失败3次就封禁
• bantime = 1h：封禁1小时（生产环境可以设更长，如24h）
• banaction = ufw：通过UFW执行封禁

# 启动Fail2ban并设置开机自启
sudo systemctl enable fail2ban
sudo systemctl restart fail2ban

# 查看状态确认SSH jail已激活
sudo fail2ban-client status sshd复制

还可以配置针对Nginx登录、WordPress xmlrpc攻击等的防护规则，进阶配置请参考Fail2ban官方文档。

很多入侵利用的是已经发布补丁但管理员没有及时更新的漏洞。开启自动安全更新可以让系统第一时间安装安全补丁。

# 安装自动更新工具
sudo apt install unattended-upgrades apt-listchanges -y

# 启用自动安全更新
sudo dpkg-reconfigure -plow unattended-upgrades复制

选择"Yes"即可。默认配置会自动安装安全更新（security源），不会自动安装普通功能更新，非常安全。

可以编辑 /etc/apt/apt.conf.d/50unattended-upgrades 配置更详细的策略，比如自动重启、邮件通知等。

系统默认可能开启了一些你用不到的服务，每个运行的服务都是潜在的攻击面。

# 查看当前正在监听的端口
sudo ss -tulpn

# 查看所有已启用的系统服务
sudo systemctl list-unit-files --state=enabled复制

对于确认不需要的服务，禁用并停止：

# 禁用不需要的服务（根据实际情况选择）
# sudo systemctl disable --now rpcbind  # RPC服务，不需要NFS就关掉
# sudo systemctl disable --now avahi-daemon  # mDNS发现服务，VPS一般用不到复制

重要原则：数据库（MySQL/PostgreSQL/Redis）不要监听0.0.0.0，只绑定127.0.0.1，通过本地Socket或SSH隧道访问。检查配置文件中的bind-address设置。

时间不准确会导致日志错乱、TLS证书验证失败、计划任务错位等一系列问题。

# 设置时区为中国时区（根据需要调整）
sudo timedatectl set-timezone Asia/Shanghai

# 启用systemd时间同步（Ubuntu 20.04+默认已启用）
sudo timedatectl set-ntp true

# 验证时间同步状态
timedatectl status复制

不管防护做得多好，备份都是最后一道防线。没有做过还原测试的备份等于没有备份。

最简单的方案是用cron定时备份数据库和网站文件到异地（不要只备份在同一台VPS上！）：

# 每天凌晨3点自动备份数据库（以MySQL/MariaDB为例）
# 先编辑crontab
sudo crontab -e

# 添加以下行（根据你的数据库密码和路径修改）
0 3 * * * mysqldump -u用户名 -p'密码' 数据库名 | gzip > /backup/wp_$(date +\%Y\%m\%d).sql.gz

# 保留最近30天备份，删除更早的
0 4 * * * find /backup -name "wp_*.sql.gz" -mtime +30 -delete复制

如果VPS上跑了网站，Web服务器本身也需要加固：

• 安装SSL证书：用Let's Encrypt免费证书，强制HTTPS跳转
• 隐藏版本号：在Nginx配置中加 server_tokens off;
• 配置请求限流：防止CC攻击和暴力爬虫
• 禁用危险HTTP方法：只允许GET/POST/HEAD
• 设置安全响应头：HSTS、X-Frame-Options、X-Content-Type-Options等
• 配置fail2ban额外jail：监控Nginx 401/403/404异常频率

快速配置Let's Encrypt免费SSL证书（用Certbot）：

sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
# Certbot会自动配置HTTPS和自动续期复制

安全配置不是一次性工作，需要定期检查：

# 查看最近的SSH登录成功/失败记录
sudo lastb    # 失败登录
sudo last     # 成功登录

# 查看Fail2ban封禁记录
sudo fail2ban-client status sshd
sudo zgrep "Ban" /var/log/fail2ban.log*

# 查看UFW最近拦截的连接
sudo journalctl -u ufw -n 50

# 定期扫描rootkit（可选）
sudo apt install rkhunter -y
sudo rkhunter --check复制

建议每季度做一次完整的安全检查：检查用户列表、计划任务、开放端口、日志中有无异常活动。