【ECS 实战】云服务器买回来后的前 30 分钟：安全加固 + 基础监控一次配好

标签： 弹性云服务器 ECS · 云监控 CES · 运维 · 新手入门

服务器开通只是开始。很多人买完直接部署业务，结果几天后被爆破登录、磁盘写满、CPU 跑满却毫无察觉。这篇整理一份开机后 30 分钟内就能做完的清单，覆盖安全、备份和监控三件事。

一、先做安全：5 分钟堵住最常见的口子

1. 检查安全组，遵循最小开放原则

默认只放行你真正需要的端口。常见做法：

• SSH（22）：只允许你自己的公网 IP 访问，不要对 0.0.0.0/0 开放
• 80 / 443：Web 服务需要才开
• 数据库端口（3306、6379 等）：不要对公网开放，需要远程访问请走内网或 VPN

2. 禁用密码登录，改用密钥

# 先确认密钥登录可用，再改配置，避免把自己锁在外面
sudo vi /etc/ssh/sshd_config
# 修改以下两项
PasswordAuthentication no
PermitRootLogin prohibit-password

sudo systemctl restart sshd

3. 修改默认 SSH 端口并安装 fail2ban（可选但推荐）

改端口能挡掉大量脚本扫描；fail2ban 会自动封禁多次登录失败的 IP。注意改端口后记得同步放行安全组。

4. 系统更新

# Debian / Ubuntu
sudo apt update && sudo apt upgrade -y
# CentOS / Rocky / Euler 系
sudo yum update -y

二、再做备份：5 分钟买一份后悔药

• 为系统盘和数据盘创建快照，或配置定期备份策略
• 重要配置、数据库导出文件另存一份到对象存储或异地
• 备份不测试等于没备份：至少做一次恢复演练，确认能用

三、最后配监控：15 分钟让问题先找到你

1. 打开云监控的基础指标

云平台默认可以看到 CPU、网络流量、磁盘读写等基础指标。这些由平台侧采集，不需要额外配置，先去控制台确认能看到数据。

2. 安装 Agent 插件，补齐主机内部指标

平台侧指标看不到内存使用率、磁盘使用率、进程状态这类系统内部数据，需要在服务器上安装监控 Agent。安装方式以控制台的引导为准，通常是一条命令或一键安装，装完后在控制台确认主机状态为"运行中"。

3. 配置告警规则：只设最关键的几条

以上阈值是通用经验值，请根据你自己业务的实际负载调整。

4. 配好通知渠道

• 至少配置两种：例如短信 / 邮件 + 一个即时通讯渠道（企业微信、钉钉、Webhook 到 Telegram 等）
• 配完后手动触发一次测试通知，确认真的收得到

5. 外部拨测补一刀

机器内部的监控无法发现"整台机器连不上"的情况，建议再用一个独立的外部服务（如 Uptime Kuma 部署在另一台机器上）对你的网站和端口做拨测。

四、30 分钟清单速查

• [ ] 安全组只放行必要端口，SSH 限定来源 IP
• [ ] SSH 改为密钥登录，系统已更新
• [ ] 系统盘和数据盘已创建快照 / 备份策略
• [ ] 云监控能看到基础指标，Agent 已安装
• [ ] CPU / 内存 / 磁盘 / 主机状态告警已配置
• [ ] 通知渠道已测试，至少两种
• [ ] 外部拨测已接入

五、小结

服务器的稳定运行，七成靠开机后的这半小时。安全组收紧、备份就位、告警配好，之后你只需要在收到通知时再去处理，而不是每天盯着控制台。