云服务器安全组与登录加固：一组开箱即用的最小规则

新开一台云服务器，第一件事不是部署应用，而是把入口收紧。很多默认安全组放得比想象中宽，22 端口对全网开放、密码登录开着，等于把大门钥匙挂在门口。这套最小规则是我几台机器上固定沿用的做法，照着做一遍，十分钟就能把最常见的扫号和弱口令风险挡在外面。

安全组：入方向只放业务必需的端口
原则就一条：默认全部拒绝，再按需放行。
Web 业务：只放 80 和 443。
SSH：不要用 22 直接对公网，改成一个高位端口（比如 20000 以上自选一个），安全组里只放这一个端口。改端口防不住定向扫描，但能挡掉绝大多数全网扫 22 的批量尝试，日志立刻清净一个量级。
数据库、缓存、面板后台：不要放公网。必须远程管理时走内网或跳板机，实在要放就限定到自己的固定 IP。
每条规则写清楚备注（用途 + 负责人 + 日期），三个月后回头复查时，删规则不需要猜。
出方向默认放行即可，收紧出方向容易误伤系统更新和 NTP，先不动它。

登录：密钥优先，密码登录能关就关
优先用密钥对登录，生成后私钥只留在自己手里，不要进代码仓库、不要发聊天记录。
有条件就关掉密码登录，至少做到：root 账号禁止密码登录，日常操作走普通用户加 sudo。
云厂商一般都提供网页端的 VNC 或串口登录作为兜底通道，改配置前先确认这条通道可用，再动手改 SSH 配置，否则一次改错就把自己锁在外面，只能走离线重置。
密码如果必须保留，单独给每个服务、每台机器用不同的长密码，不要一串密码全网通用。

纵深：日志和备份比规则本身更重要
开登录失败告警或装 fail2ban 这类工具：短时间内多次失败就封 IP，暴力破解的成本立刻上去。
定期看一次登录日志，重点看成功登录里有没有陌生 IP 和陌生时间，一眼就能发现问题。
动安全组和 SSH 配置之前先打快照，改崩了能回滚，这比任何“小心操作”都管用。

落地清单
安全组入方向：80、443、自定义 SSH 端口，其余全关
SSH：改端口、密钥登录、root 禁密码登录
确认 VNC/串口兜底通道可用再改配置
开失败登录防护，定期查登录日志，改前打快照
这套规则不花钱、不依赖特定厂商，换一家云厂商照样适用。入口收紧之后，再谈部署和性能，心里才踏实。