# 可持續維護的 Linux VPS 強化基準 | SwissOctet 洞察 https://swissoctet.com/zh-tw/insights/linux-vps-hardening-baseline/ SwissOctet / 深入解析 / 第二天營運 第二天營運 實務 · 6 分鐘閱讀 可持續維護的 Linux VPS 強化基準 安全地管理、只暴露必要的服務，並建立更新與復原機制，同時避免把自己鎖在外面。 由 SwissOctet 編輯部撰寫 儲存指南 複製連結 本頁內容 01 建立可信的起點 02 讓 SSH 存取經過審慎規劃 03 只暴露應用程式，而非整台機器 04 將更新規劃為營運流程 05 限制應用程式存取並保護復原能力 06 可持續審查的首次部署順序 您的實用檢查清單 來源與延伸閱讀 返回資料庫 直接答案 從經過驗證的存取與復原途徑開始，然後設定個別管理、經過測試的 SSH 金鑰、限制性防火牆、持續維護的軟體及獨立備份。逐步套用變更，並在關閉舊工作階段之前驗證新工作階段。 01 建立可信的起點 在變更機器之前，確認預期的作業系統、存取方式與復原途徑。透過營運商核准的資訊驗證 SSH 主機身分，而不是未經調查就接受意外的金鑰。將臨時憑證保持私密，並透過預定的流程更換。記錄由誰負責維護，以及此服務實際可用的復原選項。 在進行存取變更時，保持一個可用的管理工作階段開啟。複製而來的強化做法若假設不同的發行版或帳戶配置，可能移除唯一可用的登入方式。一次進行一項變更，檢查其實際結果並保留返回途徑。目標是你能安全維護的系統，而不是看起來嚴格卻無法管理的配置。 02 讓 SSH 存取經過審慎規劃 建立具有適當權限的個別管理存取，而不是共用一個永久 root 登入。安裝並測試預定的公開金鑰，將私密金鑰保留在授權端點上。Ubuntu OpenSSH 文件說明了伺服器配置與驗證選項。在假設編輯某一項設定已改變整個服務之前，請閱讀你所用發行版的有效配置，包括被納入的檔案。 在變更密碼驗證或特權登入規則之前，透過第二個工作階段測試金鑰存取。確保新帳戶能執行所需的管理工作。檢閱任何依賴先前方法的自動化，並審慎更換其存取方式。金鑰是存取憑證，因此請使用私密的儲存位置與輪換流程，而不是將副本留在應用程式目錄中。 03 只暴露應用程式，而非整台機器 盤點監聽中的服務，並確認哪些必須公開。網頁應用程式可能需要 HTTP 與 HTTPS，而其資料庫可以僅透過預定的內部路徑存取。Ubuntu 文件將 UFW 說明為防火牆配置工具，但實用的政策與工具無關：允許必要的流量，並在實務上將管理限制於核准的來源。 如果服務包含主機層級與供應商層級的控制，請同時檢查。在啟用限制性規則集之前，先允許經過測試的管理路徑，並從另一個工作階段驗證存取。不要假設將 SSH 移至不同連接埠就能取代驗證或修補。保持防火牆規則易於理解，以免未來的疑難排解導致以開放所有連接埠作為變通做法。 變更 套用前檢查 套用後檢查 新的 SSH 金鑰 正確的帳戶與公開金鑰 第二個金鑰驗證工作階段可運作 限制性防火牆 必要的服務與復原路徑 公開應用程式可運作；非預期的連接埠已關閉 軟體更新 備份與重新啟動的影響 服務重新啟動且應用程式測試通過 服務權限變更 必要的讀取與寫入路徑 應用程式可運作，且無需更廣泛的系統存取 04 將更新規劃為營運流程 持續維護系統與應用程式相依項目。Ubuntu 的自動更新指引說明了無人值守升級、允許的來源與重新啟動行為。第三方軟體庫不會僅因為被加入機器就自動受到涵蓋。檢閱已配置的更新流程實際包含哪些內容，並為個別安裝的應用程式提供各自的維護途徑。 決定如何處理服務重新啟動與重新開機。套用套件更新不一定代表每個執行中的程序都在使用新程式碼。在工作負載需要時使用維護時段，並在之後執行簡單的應用程式檢查。如果套件需要手動移轉步驟，請將其記錄下來，而不是無限期停用所有更新並忘記隨之而來的暴露風險。 05 限制應用程式存取並保護復原能力 以服務所需的權限執行服務，並將公開內容與機密及部署中繼資料分開。網頁程序不應能改寫所有系統設定。將環境機密保留在公開提供的目錄之外，並避免在沒有刻意保護政策的情況下將其納入日誌、支援匯出或一般備份。移除沒有營運用途的未使用套件與服務。 維護獨立備份，並測試將應用程式還原至隔離環境。限制備份憑證，使遭入侵的應用程式無法自動刪除每一份復原副本。監控磁碟容量、備份時間與服務故障。日誌應能回答既定的營運問題，並控制存取與保留；不應成為敏感請求的無限量副本。 06 可持續審查的首次部署順序 對於新的 VPS，先驗證存取與復原，然後建立管理帳戶與經過測試的金鑰。配置防火牆、套用更新，並以預定的服務帳戶部署應用程式。從另一個環境確認公開行為，檢查私密檔案無法被取得，並執行備份還原。記錄每項決策與撤銷存取變更的途徑。 Vector VPS、Pulse NVMe 與精選的專用方案在 SwissOctet 產品目錄中提供 Linux 選擇。訂購前請確認所選映像檔與維護工作的分工。沒有任何 Linux 映像檔名稱能證明強化、更新或備份已受管理。基準是你所配置、驗證並隨專案變更持續維護的一組控制措施。 付諸行動 您的實用檢查清單。 ✓ 驗證 SSH 主機身分與復原途徑。 ✓ 在第二個工作階段測試個別金鑰存取。 ✓ 限制監聽中的服務與防火牆規則。 ✓ 檢閱更新涵蓋範圍與重新啟動行為。 ✓ 將機密與公開檔案及服務權限分開。 ✓ 測試獨立復原副本。 下載檢查清單 常見問題 重要細節。 我應該立即停用密碼登入嗎？ + 先建立並測試替代的金鑰存取與復原途徑。然後依照你受支援的配置變更驗證方式。 變更 SSH 連接埠能取代強化嗎？ + 不能。它無法取代強式驗證、限制存取、更新或適當的帳戶權限。 自動更新對每個應用程式都足夠嗎？ + 不夠。請檢查允許的軟體庫、重新啟動需求，以及安裝在系統更新流程之外的軟體。 主要參考資料 前往來源。 這些參考資料支持本指南中的技術概念。在變更生產系統之前，請遵循最新文件。 Ubuntu Server：OpenSSH 伺服器 ubuntu.com Ubuntu Server：防火牆 ubuntu.com Ubuntu Server：自動更新 ubuntu.com 由 SwissOctet 提供的編輯指引。範例僅供說明。服務規格、可用選項與合約條件必須另行驗證。 連結知識 相關基礎架構。 Vector VPS 瑞士 Pulse NVMe 瑞士 Metal EPYC 瑞士 保持脈絡 您的下一份實地筆記。 探索所有指南 實地筆記 / 01 + 第二天營運 實務應用 建立您真正能還原的備份 選擇復原目標、保護獨立副本，並在事件迫使您面對問題之前練習還原。 4 分鐘閱讀 閱讀指南 實地筆記 / 02 + 第二天營運 實務應用 為你的代管專案建立實用的威脅模型 描繪資產與信任邊界，選擇幾個實際的失效情境，並將其轉化為可測試的控制措施。 6 分鐘閱讀 閱讀指南 實地筆記 / 03 + 第二天營運 實務應用 安全地管理 Windows RDP 而不失去存取權 區分網路可達性、驗證與權限，然後在緊縮遠端存取之前先驗證復原途徑。 6 分鐘閱讀 閱讀指南