Linux 服务器初始化必做的八件事

引言

拿到一台新 VPS，很多人第一件事是装环境。但在那之前，有八件"不紧急但极重要"的事——它们决定了这台机器未来是被你用，还是被别人用。

一台裸奔上线的服务器，从暴露到被扫描试探，通常只需要几分钟。下面按实际操作顺序整理，全部以常见的 Debian / Ubuntu 为例。

一、更新系统并创建普通用户

先用 Root SSH 登录后第一件事：

apt update && apt upgrade -y
adduser deploy
usermod -aG sudo deploy

为什么不直接用 root？ 因为 root 权限太大，一次误操作（比如路径写错）就可能让系统报废；而且攻击者爆破时，root 是第一个被尝试的用户名。

后续所有操作，都通过这个普通用户 + sudo 完成。

二、SSH 加固：密钥登录 + 禁止密码

这是最有效的一道防线，务必做。

在你自己的电脑上生成密钥（若无）：

ssh-keygen -t ed25519 -C "your-email@example.com"

把公钥传到服务器：

ssh-copy-id deploy@你的服务器IP

确认能用密钥登录后再改服务端配置 /etc/ssh/sshd_config：

PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes

重启生效：

sudo systemctl restart ssh

关键提醒：先开着当前连接不动，另开一个终端验证密钥能登录，再关闭原窗口。 否则配置错了你会把自己锁在门外。

三、配置防火墙，默认拒绝

Ubuntu 自带 ufw，操作直观：

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

原则是最小开放：用到哪个端口开哪个，不用的一律不开。装数据库时尤其注意，不要默认开放 3306、6379 这类端口到公网，需要远程管理就走 SSH 隧道。

如果改了 SSH 端口，记得同步放行新端口，并把 OpenSSH 规则替换成端口号。

四、装 fail2ban 防暴力破解

即使禁了密码登录，仍值得装：它能自动封禁反复试探的 IP，显著降低日志噪音与扫描骚扰。

sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban

默认配置对 SSH 已生效。想查看状态：

sudo fail2ban-client status sshd

五、校准时区与时间同步

容易被忽略，但时间不对会连带出问题：日志时间错、HTTPS 证书校验失败、定时任务跑偏。

sudo timedatectl set-timezone Asia/Shanghai
sudo timedatectl set-ntp true
timedatectl status

确认输出里 System clock synchronized: yes。

六、配置 swap（内存较小时）

1G 或 2G 内存的小机器，建议加一点 swap 作为缓冲，避免内存耗尽直接被杀进程：

sudo fallocate -l 1G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile

写入 /etc/fstab 让它开机自动挂载：

/swapfile none swap sw 0 0

注意：swap 是缓冲不是解药。如果业务频繁用到 swap，说明该加内存了。

七、开启自动安全更新

系统级漏洞补丁应自动打，不必等想起来：

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure --priority=low unattended-upgrades

生产环境建议只自动安装安全更新，不要自动升级全部软件包，以免某个大版本更新把你的服务搞挂。重要业务仍要安排人工窗口定期维护。

八、备份与基础监控

最后一件事，也是最容易"以后再说"的事——出事时它能救命。

备份三条底线：

1. 异地：备份不要放在同一台机器上
2. 定期：自动化定时任务，别靠记忆
3. 验证：定期做一次恢复演练，没验证过的备份等于没有

哪怕是简单的打包 + 同步到对象存储，也比裸奔强得多。

基础监控：至少关注磁盘剩余空间、内存占用、CPU 负载三件事。磁盘写满是新手最常见的故障，一条定时检查就够了。

一页速查清单

apt update && apt upgrade -y          # 1 更新
adduser deploy && usermod -aG sudo deploy   # 2 建用户
# 配置密钥后：PasswordAuthentication no / PermitRootLogin no
ufw allow OpenSSH && ufw enable        # 3 防火墙
apt install fail2ban -y                # 4 防爆破
timedatectl set-timezone Asia/Shanghai # 5 时区
fallocate -l 1G /swapfile              # 6 swap
apt install unattended-upgrades -y     # 7 安全更新
# 8 备份到异地 + 定期验证恢复

结语

这八件事加起来大约半小时，但能挡掉绝大多数"服务器被黑"的常见原因。

真正的安全不是装了多强的工具，而是默认拒绝、最小权限、留有退路。机器上线前的这半小时，是整个生命周期里性价比最高的半小时。