VPS 新机基础安全加固与系统优化（精简版）

本文记录 Debian/Ubuntu 新购 VPS 的常规性能优化与安全加固配置步骤

1. 系统基础优化#

1.1 清除开机预置任务#

部分服务商在系统镜像中预置了首次开机脚本或监控探针。

1
sudo crontab -e

删除其中如 @reboot /admin/firstbootkvm yes 等第三方残留自启动项。

1.2 开启 BBR 加速#

1
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
2
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
3
sysctl -p

验证启用状态：

1
sysctl net.ipv4.tcp_congestion_control
2
# 返回: net.ipv4.tcp_congestion_control = bbr

1.3 虚拟内存 (Swap) 配置#

对小内存配置 2GB Swap 空间及 swappiness 阈值（设置为 10，避免频繁读写磁盘）：

1
# 创建并挂载 Swap
2
sudo fallocate -l 2G /swapfile
3
sudo chmod 600 /swapfile
4
sudo mkswap /swapfile
5
sudo swapon /swapfile
6

7
# 配置开机自动挂载
8
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab
9

10
# 优化交换阈值
11
echo 'vm.swappiness=10' | sudo tee -a /etc/sysctl.conf
12
sudo sysctl -p

1.4 切换默认 Shell 为 Bash#

将 /bin/sh 的链接从默认的 dash 指向 bash。

1
echo "dash dash/sh boolean false" | sudo debconf-set-selections
2
sudo ln -sf bash /bin/sh

2. SSH 服务安全加固#

2.1 部署 Ed25519 密钥认证#

在本地客户端生成密钥对并上传至服务器，禁用密码登录以防暴力破解。

本地生成密钥：

1
ssh-keygen -t ed25519 -C "vps-key" -f ~/.ssh/id_ed25519_vps

上传公钥至 VPS：

1
ssh-copy-id -i ~/.ssh/id_ed25519_vps.pub -p <PORT> root@<VPS_IP>

2.2 修改 SSHD 配置文件#

编辑 /etc/ssh/sshd_config：

1
Port 54321                  # 修改为自定义高位端口
2
PasswordAuthentication no   # 禁用密码认证
3
PubkeyAuthentication yes    # 启用密钥认证

注：检查 /etc/ssh/sshd_config.d/ 目录下是否有其他配置文件覆盖此项，如存在 50-cloud-init.conf，须将其中的 PasswordAuthentication 修改为 no。

重启 SSHD 服务：

1
sudo systemctl restart sshd

在未测试成功前不要关闭当前会话。新开终端执行 ssh -i ~/.ssh/id_ed25519_vps -p 54321 root@<VPS_IP> 验证正常后再关闭旧终端。

3. 权限管理：创建非 Root 用户#

1
# 新建用户与密码
2
sudo useradd -m -u 1000 user_name
3
sudo passwd user_name
4

5
# 赋予管理员权限
6
sudo usermod -aG sudo user_name

4. 部署 Fail2ban 防御端口扫描#

安装并配置 Fail2ban，对频繁连接失败的 IP 进行临时封锁。

1
# 安装服务
2
sudo apt update && sudo apt install fail2ban -y
3

4
# 编辑配置文件 /etc/fail2ban/jail.local
5
[sshd]
6
enabled = true
7
port = 54321
8
filter = sshd
9
logpath = /var/log/auth.log
10
maxretry = 3
11
findtime = 600
12
bantime = 86400

10 分钟内发生 3 次登录失败的 IP 将被封禁 24 小时。

启动服务：

1
sudo systemctl enable --now fail2ban

可通过 sudo fail2ban-client status sshd 检查当前封锁状态。