香港VPS安全加固部署实操

2026-08-13 10:59 浏览: 次

VPS安全加固为什么是第一步而不是最后一步

2025年网络安全报告显示，新开通的VPS在暴露公网后的平均"存活时间"只有17分钟——也就是说，从你的VPS上线到被自动化扫描器发现并尝试攻击，通常不到20分钟。某站长的香港VPS刚开通1小时还没来得及配置防火墙，SSH端口就被暴力破解成功，服务器被植入挖矿木马，CPU占用飙到100%导致网站完全无法访问。

这个案例说明，安全加固绝不能是"网站上线后再做"的事情，而应该是VPS开通后的第一件事。本文将以天下数据香港VPS为例，手把手教你从开通到完成安全加固的8个步骤，每一步都配有具体命令和配置说明。

第一步：修改SSH默认端口并禁用密码登录

SSH是VPS管理的核心通道，也是攻击者最常尝试的入口。默认的22端口每天可能收到数百次自动化扫描和暴力破解尝试。修改SSH端口是最简单有效的安全措施之一。

首先修改SSH配置文件。使用vi或nano编辑/etc/ssh/sshd_config，找到#Port 22一行，去掉注释并修改为其他端口，如Port 50022。端口号建议选择1024-65535之间的非常用端口，避免与其他服务冲突。

接下来配置密钥登录。在本地电脑上生成SSH密钥对：ssh-keygen -t ed25519 -C "your_email@example.com"。然后将公钥上传到VPS：ssh-copy-id -p 50022 root@你的VPS_IP。确认密钥登录成功后，在sshd_config中设置PasswordAuthentication no禁用密码登录。最后执行systemctl restart sshd使配置生效。

重要提示：在禁用密码登录之前，务必先确认密钥登录可以正常使用。建议保持当前SSH会话不断开，另开一个终端用密钥登录测试，确认成功后再关闭旧会话。否则一旦配置错误，你可能被锁在服务器外面。

同时记得在天下数据控制台的安全组中放行新的SSH端口。如果控制台有防火墙功能，关闭旧的22端口，只开放50022端口。

第二步：配置防火墙规则

防火墙是VPS安全的第一道防线，负责控制哪些网络流量可以进入服务器。Linux上常用的防火墙工具有iptables和ufw（Ubuntu的简化前端），推荐使用ufw因为配置更直观。

安装ufw：apt install ufw（Ubuntu）或yum install ufw（CentOS）。然后按以下顺序配置规则：

首先设置默认策略——拒绝所有入站流量，允许所有出站流量：ufw default deny incoming和ufw default allow outgoing。然后逐个放行需要的端口：ufw allow 50022/tcp（SSH端口）、ufw allow 80/tcp（HTTP）、ufw allow 443/tcp（HTTPS）。如果你的VPS上运行了宝塔面板，还需要放行面板端口：ufw allow 8888/tcp（默认面板端口，建议修改）。

特别注意：不要对外开放数据库端口（MySQL 3306、Redis 6379、MongoDB 27017）。这些服务应该只监听127.0.0.1，不对外暴露。如果确实需要远程访问数据库，建议使用SSH隧道而非直接开放端口。

最后启用防火墙：ufw enable。注意，ufw在启用时会断开非规则允许的连接，所以确保SSH端口已在规则中放行，否则你会被踢下线。

第三步：安装fail2ban防暴力破解

即使修改了SSH端口，攻击者仍然可以通过端口扫描找到新端口并尝试暴力破解。fail2ban是一个自动封禁恶意IP的工具，它通过分析日志识别暴力破解行为，自动将攻击者的IP加入防火墙黑名单。

安装fail2ban：apt install fail2ban。安装后创建本地配置文件/etc/fail2ban/jail.local，写入以下配置：

[DEFAULT]

bantime = 86400（封禁时长24小时）

findtime = 600（10分钟内触发）

maxretry = 5（最多5次失败）

[sshd]

enabled = true

port = 50022（你的SSH端口）

filter = sshd

logpath = /var/log/auth.log（Ubuntu）或/var/log/secure（CentOS）

这个配置的意思是：在10分钟内，如果某个IP在SSH登录时失败了5次，就封禁该IP 24小时。启动fail2ban：systemctl enable fail2ban && systemctl start fail2ban。

fail2ban不仅可以防护SSH，还可以防护其他服务（如Nginx、Postfix等）。对于运行网站的VPS，建议同时配置Nginx的fail2ban规则，封禁频繁发起恶意请求的IP。

第四步：系统更新与安全补丁

新开通的VPS系统镜像可能包含已知的漏洞，第一步应该是更新所有软件包到最新版本。这可以修复大部分已知的安全漏洞。

Ubuntu/Debian系统执行：apt update && apt upgrade -y。CentOS/RHEL系统执行：yum update -y。更新完成后，检查是否需要重启：if [ -f /var/run/reboot-required ]; then echo "需要重启"; fi。如果需要重启，选择业务低峰期执行reboot。

建议配置自动安全更新，确保系统在有新安全补丁时自动安装。Ubuntu上安装unattended-upgrades：apt install unattended-upgrades，然后执行dpkg-reconfigure -plow unattended-upgrades启用自动更新。注意，自动更新只安装安全补丁，不安装功能更新，因此不会影响系统稳定性。

除了系统包，还要检查已安装的运行环境是否有已知漏洞。使用宝塔面板的用户，在"软件商店"中检查PHP、MySQL、Nginx是否有新版本可用，及时更新到安全版本。特别是PHP，旧版本（如PHP 7.2及以下）已不再接收安全更新，存在已知漏洞，应升级到8.1+。

第五步：配置文件权限与目录安全

文件权限配置不当是网站被黑的常见原因。攻击者通过Web漏洞上传木马文件后，如果文件权限设置合理，木马无法执行；但如果权限宽松（如777），木马可以顺利运行并控制服务器。

Web根目录的权限应该遵循以下原则：所有者为Web服务器运行用户（如www-data或nginx），权限为755（目录）和644（文件）。以下命令可以批量设置正确的权限：

find /var/www/html -type d -exec chmod 755 {} \;

find /var/www/html -type f -exec chmod 644 {} \;

chown -R www-data:www-data /var/www/html

特别注意上传目录（如WordPress的wp-content/uploads）的权限。这些目录需要Web服务器写入权限，但不能执行PHP文件——否则攻击者上传的PHP木马可以被执行。在Nginx配置中添加以下规则禁止上传目录执行PHP：

location ~* /wp-content/uploads/.*\.php$ {

deny all;

}

配置文件（如wp-config.php）包含数据库密码等敏感信息，应该设置为不可公开读取：chmod 600 /var/www/html/wp-config.php。

第六步：部署Web应用防火墙（WAF）

系统层面的安全加固只能防护网络层攻击，Web应用层攻击（如SQL注入、XSS、CC攻击）需要WAF来防护。对于使用宝塔面板的VPS用户，可以在软件商店中安装"Nginx免费防火墙"或购买专业版WAF。

免费防火墙提供基础的防护功能：拦截SQL注入、XSS、恶意爬虫等。安装后在面板中开启防护，检查拦截规则是否覆盖你的网站所有入口。建议开启"GET/POST过滤"、"Cookie过滤"、"UA过滤"功能。

CC攻击防护是WAF的重要功能。在防火墙设置中配置CC规则：同一IP每分钟请求超过120次时触发限速，超过300次时封禁10分钟。对于登录接口等敏感路径，设置更严格的限制（每分钟不超过10次）。

如果你没有使用宝塔面板，可以在Nginx中安装ModSecurity模块实现WAF功能。ModSecurity配合OWASP Core Rule Set（CRS）可以拦截绝大多数Web攻击。安装配置稍复杂，但防护能力不亚于商业WAF。

第七步：配置日志监控与告警

安全加固完成后，持续的监控是发现安全事件的关键。VPS上的各种日志记录了系统的运行状态和潜在威胁，通过分析日志可以及时发现攻击行为。

关键日志文件包括：/var/log/auth.log（SSH登录记录）、/var/log/nginx/access.log和error.log（Web访问日志）、/var/log/syslog（系统日志）、MySQL的错误日志和慢查询日志。建议每天检查这些日志中的异常条目。

手动检查日志效率低且容易遗漏，推荐使用自动化工具。安装logwatch可以每天发送日志摘要邮件：apt install logwatch，配置邮件接收地址后，每天会收到一份系统日志摘要，包含登录尝试、服务状态变化等关键信息。

对于更专业的监控，可以使用OSSEC或Wazuh等主机入侵检测系统（HIDS）。这些工具可以实时分析日志，检测异常行为（如异常文件修改、可疑进程启动等），并发送告警。安装配置相对复杂，但防护能力显著强于手动检查。

设置简单的邮件告警脚本也很有效。以下脚本在检测到SSH登录时发送邮件通知：

在/etc/ssh/sshrc中添加：

echo "SSH login from $SSH_CLIENT at $(date)" | mail -s "SSH Login Alert" your@email.com

这样每次有人通过SSH登录你的VPS，你都会收到邮件通知。如果收到非预期的登录通知，说明可能存在安全风险。

第八步：定期安全审计与维护

安全加固不是一次性的工作，需要定期审计和维护才能保持有效性。建议每月执行一次安全检查清单。

每月安全检查清单包括：检查系统更新是否自动安装、检查fail2ban是否正常运行（systemctl status fail2ban）、检查防火墙规则是否完整（ufw status）、检查SSH配置是否被篡改、检查Web目录权限是否正确、检查是否有未知用户账户（cat /etc/passwd | grep /bin/bash）、检查是否有可疑的定时任务（crontab -l和ls /etc/cron.d/）、检查是否有异常进程（ps aux --sort=-%cpu | head -20）。

每季度做一次深度审计，包括：使用 Lynis 等工具进行安全扫描（apt install lynis && lynis audit system）、检查SSL证书是否即将过期、检查备份是否可以正常恢复、审查网站代码是否有已知漏洞（使用WPScan等工具扫描WordPress）。

天下数据的香港VPS提供基础的安全防护（包括DDoS清洗和入侵检测），但服务器内部的安全加固需要用户自行负责。如果你在安全加固过程中遇到问题，天下数据的技术支持团队可以提供指导和协助。