# 一份你可以维护的 Linux VPS 加固基线 | SwissOctet 洞察 https://swissoctet.com/zh/insights/linux-vps-hardening-baseline/ SwissOctet / 洞察 / 第二天运营 第二天运营 应用 · 6 分钟阅读 可维护的 Linux VPS 加固基线 安全地进行管理，仅暴露所需服务，并建立更新和恢复机制，同时避免将自己锁在外面。 作者 SwissOctet 编辑部 保存指南 复制链接 本页内容 01 建立可信的起点 02 让 SSH 访问有意识地进行 03 暴露应用程序，而不是整台机器 04 将更新规划为运营流程 05 限制应用程序访问并保护恢复 06 一个保持可审查的首次部署序列 您的实用清单 来源与延伸阅读 返回资料库 直接答案 从经过验证的访问和恢复路径开始，然后配置个人管理、经过测试的 SSH 密钥、限制性防火墙、持续维护的软件和独立备份。逐步应用更改，并在关闭旧会话之前验证新会话。 01 建立可信的起点 在更改机器之前，确认预期的操作系统、访问方法和恢复路径。通过运营方批准的信息验证 SSH 主机身份，而不是未经调查就接受意外密钥。将临时凭据保密，并通过预期流程替换它们。记录谁负责维护，以及此服务实际可用的恢复选项。 在进行访问更改时，保持一个可用的管理会话处于打开状态。一份照搬的加固配方如果假设了不同的发行版或账户布局，可能会移除唯一可用的登录方式。一次只做一项更改，检查其实际效果，并保留回退路径。目标是构建一个你可以安全维护的系统，而不是一个看起来严格却无法管理的配置。 02 让 SSH 访问有意识地进行 创建具有适当权限的独立管理访问，而不是共享一个永久 root 登录。安装并测试预期的公钥，将私钥保留在授权的端点上。Ubuntu OpenSSH 文档说明了服务器配置和身份验证选项。在假设编辑某一项设置已更改整个服务之前，请阅读您发行版的有效配置，包括包含的文件。 在更改密码身份验证或特权登录规则之前，通过第二个会话测试密钥访问。确保新账户能够执行其所需的管理操作。审查任何依赖先前方法的自动化，并有意识地替换其访问方式。密钥是一种访问凭据，因此请使用私有存储位置和轮换流程，而不是将副本留在应用程序目录中。 03 暴露应用程序，而不是整台机器 清点监听服务并确定哪些必须公开。Web 应用程序可能需要 HTTP 和 HTTPS，而其数据库可以仅通过预期的内部路径访问。Ubuntu 将 UFW 记录为防火墙配置工具，但有用的策略与工具无关：允许所需的流量，并在实际可行时将管理限制在批准的来源。 如果服务包含主机级和提供商级控制，请同时检查两者。在启用限制性规则集之前，先允许经过测试的管理路径，并从另一个会话验证访问。不要假设将 SSH 移到其他端口就能替代身份验证或打补丁。保持防火墙规则易于理解，以免将来的故障排除导致打开所有端口作为变通方法。 更改 应用前检查 应用后检查 新的 SSH 密钥 正确的账户和公钥 第二个密钥身份验证会话正常工作 受限防火墙 所需的服务和恢复路径 公共应用正常工作；非预期端口已关闭 软件更新 备份和重启影响 服务重启且应用程序测试通过 服务权限更改 所需的读写路径 应用正常工作且无需更广泛的系统访问 04 将更新规划为运营流程 保持系统和应用程序依赖项得到维护。Ubuntu 的自动更新指南描述了无人值守升级、允许的来源和重启行为。第三方仓库不会仅仅因为被添加到机器上就自动被覆盖。审查已配置的更新流程实际包含什么，并为单独安装的应用程序提供自己的维护路径。 决定如何处理服务重启和重新启动。应用软件包更新并不总是意味着每个正在运行的进程都在使用新代码。在工作负载需要时使用维护窗口，并在之后执行简单的应用程序检查。如果某个软件包需要手动迁移步骤，请记录它们，而不是无限期禁用所有更新并忘记由此产生的暴露。 05 限制应用程序访问并保护恢复 以所需权限运行服务，并将公共内容与机密和部署元数据分开。Web 进程不应能够重写所有系统设置。将环境机密保存在公开提供的目录之外，并避免在没有有意保护策略的情况下将其包含在日志、支持导出或一般备份中。当未使用的软件包和服务没有运营用途时，请将其移除。 维护独立备份，并测试将应用程序恢复到隔离环境。限制备份凭据，使受损的应用程序无法自动删除每个恢复副本。监控磁盘容量、备份时效和服务故障。日志记录应回答已定义的运营问题，并控制访问和保留；它不应成为敏感请求的无限副本。 06 一个保持可审查的首次部署序列 对于新的 VPS，首先验证访问和恢复，然后建立管理账户和经过测试的密钥。配置防火墙、应用更新，并在其预期的服务账户下部署应用程序。从另一个环境确认公共行为，检查私有文件无法被检索，并执行备份恢复。记录每个决策以及撤销访问更改的路径。 Vector VPS、Pulse NVMe 和选定的专用方案在 SwissOctet 目录中提供 Linux 选择。在订购前确认所选镜像和维护工作的分工。没有任何 Linux 镜像名称能证明强化、更新或备份已经得到管理。基线是您配置、验证并随着项目变化继续维护的一组控制措施。 将其转化为行动 您的实用清单。 ✓ 验证 SSH 主机身份和恢复路径。 ✓ 在第二个会话中测试独立密钥访问。 ✓ 限制监听服务和防火墙规则。 ✓ 审查更新覆盖范围和重启行为。 ✓ 将机密与公共文件和服务权限分开。 ✓ 测试独立恢复副本。 下载清单 常见问题 重要细节。 我应该立即禁用密码登录吗？ + 首先建立并测试替代密钥访问和恢复路径。然后根据您受支持的配置更改身份验证。 更改 SSH 端口能替代强化吗？ + 不能。它不能替代强身份验证、受限访问、更新或适当的账户权限。 自动更新对所有应用程序都足够吗？ + 不够。检查允许的仓库、重启要求以及系统更新流程之外安装的软件。 主要参考资料 前往来源。 这些参考资料支持本指南中的技术概念。在更改生产系统之前，请遵循当前文档。 Ubuntu 服务器：OpenSSH 服务器 ubuntu.com Ubuntu 服务器：防火墙 ubuntu.com Ubuntu 服务器：自动更新 ubuntu.com 由 SwissOctet 提供编辑指导。示例仅作说明。服务规格、可用选项和合同条件必须单独核实。 连接知识 相关基础设施。 Vector VPS 瑞士 Pulse NVMe 瑞士 Metal EPYC 瑞士 保持联系 您的下一份现场笔记。 探索所有指南 现场笔记 / 01 + 第二天运营 应用 构建您真正可以恢复的备份 选择恢复目标，保护独立副本，并在事件迫使问题发生之前练习恢复。 4 分钟阅读 阅读指南 现场笔记 / 02 + 第二天运营 应用 托管项目的实用威胁模型 映射资产和信任边界，选择几个现实的故障场景，并将其转化为可测试的控制措施。 6 分钟阅读 阅读指南 现场笔记 / 03 + 第二天运营 应用 安全进行 Windows RDP 管理而不丢失访问权限 分离网络可达性、身份验证和权限，然后在收紧远程访问之前验证恢复路径。 6 分钟阅读 阅读指南