十几台免费服务器怎么管：我的日常安全巡检清单

手里攒了十几台服务器，大部分是各家云厂商的免费额度，分布在不同国家地区。机器一多，最怕的不是性能不够，而是哪台被扫了、爆破了自己还不知道。分享一下我日常在用的巡检清单，都是笨办法，但管用。

一、先把大门锁好

• SSH 只允许密钥登录，关掉密码登录，root 只认密钥；
• 防火墙只开真正用到的端口，其余默认拒绝；
• 装 fail2ban，SSH 失败几次自动封 IP；
• 没用的系统账号全部禁用，只留业务真正需要的。

这四步做完，互联网上的自动化扫描基本就只能敲敲门了。

二、每天看三样东西

1. 登录失败记录。 这是判断有没有人爆破的最直接信号。我有个粗略的分级：同一 IP 一天失败十次以上，基本可以判定是密码探测，直接进防火墙黑名单永久封禁；内网网段来的失败次数门槛更低，三次就封——内网里出现爆破行为更值得警惕。当然，白名单先行：本机回环、自己的内网段、组网地址永远不封，避免误伤。

2. 磁盘空间。 小硬盘的免费机最容易死于日志爆盘。每天看一眼剩余空间，低于 10GB 就要处理了。

3. 在线状态。 每台机器上跑一个极轻的探针，每 10 秒上报一次心跳；中心端超过一分钟没收到就判定掉线，立刻推送告警到手机。掉线这件事，早一分钟知道和晚一小时知道，处理成本完全不一样。

三、巡检要自动化，但处置要留给人

我的原则是：检查和告警可以全自动，动手处置必须人工确认。自动封 IP 是唯一的例外——因为规则明确、误伤面被白名单兜住了。除此之外，改配置、重启服务、删文件，一律不让脚本自作主张。运维自动化最大的坑不是不够自动，而是自动地闯祸。

四、保持干净

不用的软件及时卸，孤儿目录和过期备份及时清。机器越干净，异常越显眼——巡检时看到一个不认识的进程、一个不认识的目录，本身就是告警。

以上就是我的清单，没有高深东西，核心就一句：把重复劳动交给脚本，把判断留给人。

（本文为个人运维实践记录。）