博客部署服务器 (1)

Tip
购买云服务器，设置安全组，服务器基础配置，购买域名，更新主体人信息设置SSL证书
进行备案

拿到一台带有公网 IP 的服务器后，安全加固是第一优先级任务

一、设置安全组

入方向只保留 Http的80和443、自定义2222（ssh连接），其他全部禁用出方向不用设置，无需特殊处理

二、基础安全配置

1. 创建用户

1
sudo useradd -m -s /bin/bash deploy
2
sudo passwd jiy

2. 禁用 Root 密码登录

1
# 本地生成 SSH密钥对，一路回车即可
2
ssh-keygen -t ed25519
3

4
# 将公钥添加到服务器
5
ssh-copy-id username@ip

另开一个新的终端窗口，执行：

1
ssh username@ip

如果配置成功，就会直接登录，不再需要输入服务器密码

3. 配置 SSH 密钥认证

1
sudo vim /etc/ssh/sshd_config

找到并修改以下内容：

1
# 改用 2222 端口
2
Port 2222
3
# 禁用密码登录
4
PasswordAuthentication no
5
# 禁用键盘交互认证（另一种密码认证方式）
6
KbdInteractiveAuthentication no
7
# 启用公钥认证
8
PubkeyAuthentication yes
9
# 禁止空密码登录
10
PermitEmptyPasswords no
11
# 完全禁止root通过SSH登录
12
PermitRootLogin no

修改完成之后，不要立即关闭当前终端，先重启 SSH服务让配置生效，本终端作为安全网

1
sudo systemctl restart sshd

小提示：请确保安全组的 2222端口和防火墙的开放；如果 进不去了，保底策略是使用云厂商的 VPC进行登陆

4. 配置主机防火墙（只开放必要端口）

原则：默认拒绝所有入站，仅放行白名单

1
ufw default deny incoming
2
ufw default allow outgoing
3
ufw allow 2222/tcp    # SSH端口
4
ufw allow 80/tcp      # HTTP
5
ufw allow 443/tcp     # HTTPS
6
ufw enable

5. 更新系统补丁

1
sudo apt update && apt upgrade -y

三、基础安全加固

1. 安装并配置 Fail2Ban

自动封禁暴力破解和恶意扫描的 IP
Fail2Ban：

1
sudo apt install fail2ban
2
sudo systemctl enable --now fail2ban

内核参数硬化 (sysctl)

1
sudo /etc/sysctl.conf && sysctl -p

修改以下配置：

1
# 防 SYN Flood
2
net.ipv4.tcp_syncookies = 1
3
net.ipv4.tcp_max_syn_backlog = 2048
4

5
# 禁用 ICMP 重定向（防中间人）
6
net.ipv4.conf.all.accept_redirects = 0
7
net.ipv4.conf.default.accept_redirects = 0
8

9
# 禁用源路由
10
net.ipv4.conf.all.accept_source_route = 0
11

12
# 记录可疑数据包
13
net.ipv4.conf.all.log_martians = 1

核心安全理念： 安全不是产品，而是过程。没有绝对安全的服务器，只有不断提高的攻击成本。做好以上措施可以抵御绝大多数自动化攻击和脚本小子，但面对定向高级攻击仍需持续关注和迭代。

四、SSL 证书

因为是在阿里云购买的域名 + 服务器，我选择在阿里云平台申请SSL证书官方文档教程

J i y ' s 数 字 花 園

一、设置安全组

二、基础安全配置

1. 创建用户

2. 禁用 Root 密码登录

3. 配置 SSH 密钥认证

4. 配置主机防火墙（只开放必要端口）

5. 更新系统补丁

三、基础安全加固

1. 安装并配置 Fail2Ban

四、SSL 证书