Linux 云服务器初始化配置与基础安全基线加固备忘

在腾讯云、阿里云等平台新采购轻量应用服务器或 CVM 后，默认的系统环境往往使用 root 直连，且 SSH 暴露在默认的 22 端口。公网扫描器每天会有成千上万次暴力撞库尝试。本文记录一套标准化的一键加固检查单。

一、系统包更新与时区设置

无论基于 Ubuntu 还是 Debian，装机第一步务必同步软件源并统一时区为东八区：

# 更新软件源索引并升级基础依赖
sudo apt update && sudo apt upgrade -y

# 修正服务器时区为 Asia/Shanghai
sudo timedatectl set-timezone Asia/Shanghai

# 验证时间状态
timedatectl

二、创建非 root 管理员账号并授权 Sudo

日常运维应当严禁直接使用 root 登录，先创建一个专用运维账号：

# 1. 创建普通用户 devops
sudo adduser devops

# 2. 将其添加到 sudo 提权管理组
sudo usermod -aG sudo devops

三、SSH 密钥登录配置与加固

使用基于现代 ED25519 算法的非对称密钥对，彻底替代脆弱的弱密码登录：

# 本地生成高强度密钥对（在本地电脑终端执行）
ssh-keygen -t ed25519 -C "admin@ucncn.cn"

# 将公钥上传至云服务器对应用户的 .ssh/authorized_keys 中
# 确保权限设置严格合规：
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

随后编辑 /etc/ssh/sshd_config，修改核心安全指令：

# 禁止 root 远程登录
PermitRootLogin no

# 禁用明文密码认证，强制要求 Publickey
PasswordAuthentication no

# 修改默认 22 端口（例如改为 28822，避开自动化低级全网扫描）
Port 28822

小贴士：重启 sshd 服务前，切记不要关闭当前已连接的 SSH 会话窗口，务必新开一个终端测试新端口和密钥能否正常登录！

四、启用轻量防火墙（UFW）

Ubuntu 自带的 UFW 可以极简管理 iptables 进出站规则：

# 默认拦截所有入站，允许所有出站
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 放行刚才修改的 SSH 自定义端口
sudo ufw allow 28822/tcp comment 'SSH Port'

# 放行 Web 访问端口（HTTP 与 HTTPS）
sudo ufw allow 80/tcp comment 'Web HTTP'
sudo ufw allow 443/tcp comment 'Web HTTPS'

# 启动防火墙并开机自启
sudo ufw enable
sudo ufw status verbose

总结

通过完成「非 root 用户 + ED25519 密钥认证 + 关闭 22 默认端口 + UFW 最小放行」四部曲，服务器能够抵御 99% 以上来自公网的常规撞库与扫描攻击，为长期稳定运行打好坚实的地基。