云服务器安全防护设置新手必做清单（照着做就行）

刚买云服务器，很多人第一件事是装宝塔、传网站，安全设置先放一边。别问我是怎么知道的——一台默认22端口、密码登录的机器，放公网一晚上就能被扫几百次，轻则挖矿，重则数据被勒索。本文就是给国内站长、开发者和中小企业新手看的：不聊虚的，按清单把入口、端口、应用和备份几件事做好，能挡掉大多数低级攻击。

第一步：先把“门”看住，SSH别裸奔

新手最容易忽略的就是登录入口。操作很简单：能上密钥就上密钥，不能就至少改端口、禁root直登、强密码。SSH配置里把 PermitRootLogin 改成 prohibit-password，PasswordAuthentication 设成 no（用密钥后），再改默认22端口，重启sshd前先测试新端口能连上，别把自己关门外。云厂商控制台的安全组只放行你的新SSH端口，以及80/443；数据库3306、Redis 6379这些千万别对公网开。记住：安全组是外层门，系统防火墙是内层门，两道都要管。

第二步：系统更新和防火墙，别嫌麻烦

新机器先更新系统：CentOS用 yum update，Ubuntu/Debian用 apt update && apt upgrade。然后开防火墙，Ubuntu用 ufw，CentOS用 firewalld，只放必要端口。比如网站只开80/443，SSH开你改过的端口，其他默认拒绝。你可能不知道，很多入侵不是黑客多厉害，而是机器上跑着老旧服务，漏洞早公开了。顺手把不用的服务停掉，比如测试用的FTP、默认数据库远程访问。

第三步：装个fail2ban，挡住暴力破解

SSH改端口能少很多扫描，但建议加一层fail2ban：apt install fail2ban 或 yum install fail2ban，启用后它会监控日志，多次输错密码就临时封IP。默认配置够新手用，想稳一点就调一下封禁时间和重试次数。别装一堆来路不明的“安全插件”，更新不及时反而添乱。

第四步：网站层上HTTPS，应用别裸奔

网站能上HTTPS就上，Let’s Encrypt免费证书配合certbot几分钟搞定。后台登录路径别用 /admin 这种默认地址，密码用密码管理器生成。电商、游戏服、外贸站这类容易挨打的业务，建议配WAF或高防，至少把CC攻击和常见Web漏洞挡一挡。数据库只允许本机或内网访问，Redis务必设密码并绑定内网。

第五步：快照和监控，留后路

安全没有100%，所以备份必须有。云厂商的快照功能每周至少做一次，重要数据再异地备份一份。开基础监控告警：CPU突然跑满、带宽异常、登录失败暴增，都可能是被搞了。别等网站打不开才查日志。

避坑提醒：新手常犯的3个错误

安全组图省事开 0.0.0.0/0 全端口，等于大门敞开；
只改密码不改端口，还允许root密码登录，暴力破解迟早找上门；
装完面板就以为安全了，不做快照、不看日志，出事只能重装。

解决方案推荐：机器选对，少折腾

如果你还没买机器，或者想换条抗打线路，可以看看沐雨云服务器（https://www.myyvps.com）。它家高防云服务器单机带50-200G DDoS/CC防御，香港/美国/日本免备案VPS可选，BGP/CN2优质线路，纯SSD固态硬盘；2核2G轻量云12.8元/月起，支持支付宝/微信，适合个人博客、电商网站、游戏服务器、外贸独立站。新手先把上面几步配好，再配合高防，省心不少。