华为云小服务器安全加固：从防暴力破解到端口精简的实战清单

刚买完华为云服务器，第一天就被暴力破解了几百次。赶紧做了一波安全加固，整理一下完整清单，都是实战踩过坑的。

## 一、SSH安全：最容易被攻击的地方

SSH是公网暴露的端口，也是被攻击最多的地方。我刚买完服务器，一天下来日志里全是各种IP在试密码。

### 1. 先改默认端口

别用默认的22端口，改成一个不常见的，比如22222或者随便一个五位数。

```bash

# 编辑sshd配置

vi /etc/ssh/sshd_config

# 找到Port那行，改成

Port 22222

# 重启ssh

systemctl restart sshd

```

改完记得在安全组里放通新端口，不然你自己也登不进去了。

### 2. 禁用密码登录，只用密钥

密码登录太容易被暴力破解了，直接关掉：

```bash

# 编辑sshd_config

PasswordAuthentication no

PubkeyAuthentication yes

```

**注意**：先把你的公钥放到 ~/.ssh/authorized_keys 里，确认密钥能登录了，再关密码登录。不然把自己关在外面就麻烦了。

### 3. 限制登录失败次数

可以装个fail2ban，登录失败几次就自动封IP：

```bash

apt install fail2ban

systemctl enable --now fail2ban

```

这个装了之后，暴力破解基本就没戏了。

## 二、安全组：最小权限原则

安全组是第一道防线，别图省事全放0.0.0.0/0。

### 我的安全组配置：

| 端口 | 用途 | 源地址 |

|------|------|--------|

| 22222 | SSH | 我的固定IP |

| 80 | HTTP | 0.0.0.0/0 |

| 443 | HTTPS | 0.0.0.0/0 |

| 8090 | 后台管理 | 我的固定IP |

**几个原则：**

- SSH端口只放自己的IP，别对公网开放

- 数据库端口（3306）绝对不要对公网开

- 不用的端口及时删掉

- 后台管理端口只放自己的IP

## 三、系统层面：关掉没用的东西

### 1. 关掉不需要的服务

刚装的系统自带很多用不上的服务，都关了：

```bash

# 看一下哪些服务在跑

systemctl list-units --type=service --state=running

# 关掉不用的

systemctl disable --now bluetooth

systemctl disable --now cups

systemctl disable --now avahi-daemon

```

服务越少，攻击面越小。

### 2. 定期更新系统

这个不用多说，有安全补丁及时打：

```bash

apt update && apt upgrade -y

```

可以加到cron里，每周自动更新一次。

### 3. 用普通用户登录，别一直用root

root权限太大了，万一被攻破就是全机沦陷。平时用普通用户操作，需要权限的时候再sudo。

## 四、日志监控：出问题能快速定位

### 1. 看登录日志

```bash

# 看谁在尝试登录

grep "Failed password" /var/log/auth.log

# 看成功登录的记录

grep "Accepted" /var/log/auth.log

```

每天看一眼，发现有异常及时处理。

### 2. 定期看磁盘和内存

```bash

df -h

free -m

top

```

发现内存突然涨了很多，可能是被植入挖矿程序了。

## 五、几个容易忽略的坑

1. **别用弱密码**：哪怕你开了密钥登录，密码也别用123456这种

2. **及时清理不用的账号**：之前测试建的账号，不用了就删掉

3. **重要数据定期备份**：别等被黑了才想起备份

4. **云服务商的安全产品可以开一下**：比如华为云的主机安全，基础版免费的

## 六、总结

2核2G的小服务器，本来资源就有限，再被人拿来挖矿就更卡了。花半小时做个安全加固，省得以后天天提心吊胆。

核心就是：**SSH改端口+用密钥登录，安全组最小权限，关掉没用的服务，定期看日志。** 做到这几点，小服务器基本就很安全了。