Debian 小服务器日常巡检与安全更新小记

手里一台小规格的 Debian 云服务器，跑着几个轻量服务。机器不大，日常维护却不能省，我把自己这半年摸索出来的巡检习惯整理下来，供同样用小机器的朋友参考。

第一是系统更新。Debian 的包管理很稳，我每周手动跑一次 apt update 和 apt upgrade，先看清要升级的包再确认。安全更新交给 unattended-upgrades 自动处理：启用 security 源并打开自动更新，高危补丁不用等我有空才打。注意内核升级后要择期重启，别让 uptime 好看却跑着旧内核。

第二是磁盘。40G 小盘最容易被日志和缓存吃满。先 df -h 看整体水位，再 du -sh /var/* 定位大户。journald 日志默认不限大小，我在配置里设了 SystemMaxUse=200M，并定期用 journalctl --vacuum-time=7d 清理。apt 缓存和旧内核可用 apt autoremove 顺手清掉。

第三是服务状态。systemctl --failed 一眼看出有没有挂掉的服务单元，比逐个翻日志高效。常驻服务再用 systemctl status 确认状态、is-enabled 确认自启没被误关。我还写了个小脚本，把磁盘、内存、负载和关键服务状态汇总成一条消息，每周发到自己邮箱。

第四是登录安全。SSH 只允许密钥登录：公钥放好后在 sshd 配置里关掉密码登录，顺手改掉默认端口，能挡掉大部分无差别扫描。再装 fail2ban 并打开 sshd 的 jail，应对爆破足够。防火墙只放行用到的端口，其余一律拒绝。

最后是每月雷打不动的巡检清单：一看更新与重启状态，二看磁盘水位与日志大小，三看失败服务和计划任务，四看 fail2ban 封禁记录和登录记录，五看流量曲线有无异常突刺。十来分钟走完，心里有数。

小机器资源有限，更要把功夫花在平时。与其等磁盘满、服务挂了再救火，不如让自动更新和这份清单替自己盯着。