安全防护 - 折腾手记

423 字

2 分钟

安全防护

2026-04-29

以debian 12为例演示。低于2c2g的vps，用root用户，否则用普通用户；这里演示以以下用户名密码为例用户名：woioeow 密码：4561834

更新系统#

1
apt update && apt upgrade -y

新建用户#

1
# 新建用户同时新建用户目录、指定默认shell
2
useradd -m -s /usr/bin/bash woioeow

设置密码#

1
passwd woioeow

设置sudo密码权限#

有的精简系统默认无sudo和vim，以下命令安装
Terminal window
1
apt install sudo vim -y

1
vim /etc/sudoers

找到root ALL=(ALL:ALL) ALL这行，粘贴至下一行，把root改为woioeow，如下：

1
root ALL=(ALL:ALL) ALL
2
woioeow ALL=(ALL:ALL) ALL

输入:x!保存退出

使用su woioeow可切换至新用户

实现ssh密钥登陆#

客户端#

1
ssh-keygen -t ed25519 -C "sshkey"

连续按三次回车

上传密钥#

1
# 如果没有改ssh端口可不指定-P(大写)参数
2
# 先在服务器创建.ssh目录
3
scp -P <port> C:\Users\<username>\.ssh\id_ed25519.pub <用户名>@<服务器IP>:~/.ssh/authorized_keys

服务端#

1
mkdir .ssh
2
# 上传密钥后
3
chmod 600 .ssh/authorized_keys

UFW防火墙配置#

1
sudo apt install ufw -y
2
# 启用防火墙
3
sudo ufw enable
4
# 开放的ssh端口，ipv4、limit、tcp
5
sudo ufw limit from 0.0.0.0/0 to any port 62768 proto tcp
6
# 载入规则
7
sudo ufw reload

禁用Ping#

1
sudo vim /etc/ufw/before.rules

搜echo-request，找到有input的那行，把ACCEPT改为DROP

1
sudo ufw reload

Fail2ban#

1
sudo apt install fail2ban -y
2
# 复制文件
3
cd /etc/fail2ban
4
sudo cp fail2ban.conf fail2ban.local
5
# 追加配置
6
sudo cat<<EOF >> fail2ban.local
7
[sshd]
8
enabled = true
9
port = 62768
10
filter = sshd
11
logpath = /var/log/auth.log
12
backend = auto
13

14
maxretry = 3
15
findtime = 10m
16
bantime  = 7d
17

18
bantime.increment = true
19
bantime.factor = 2
20
bantime.maxtime = 30d
21
EOF
22
# 创建日志文件
23
sudo touch /var/log/auth.log
24
# 重启
25
sudo systemctl enable fail2ban
26
sudo systemctl start fail2ban
27
sudo systemctl status fail2ban

修改日志体积上限#

1
sudo vim /etc/systemd/journald.conf
2
修改以下参数
3
SystemMaxUse=200M
4
SystemKeepFree=500M
5
MaxRetentionSec=7day
6
重启服务
7
sudo systemctl restart systemd-journald
8
sudo systemctl status systemd-journald

安全防护

https://blog.vian.im/安全防护/

作者

woioeow

发布于

2026-04-29

许可协议

CC BY-NC-SA 4.0

安装nvm

自建代理