小型云服务器安全加固实录：从密钥登录到fail2ban与BBR的完整清单

一台2核2G的小服务器，系统刚装完时默认配置并不安全：密码登录开着、没有登录失败防护、内存小，在突发负载下容易有进程被直接杀掉。下面是这次加固的完整清单，按顺序做完大概二十分钟，每一项都附了验证方法，因为配置写了不等于生效。

第一步是密钥登录，并关闭密码登录。用ssh-keygen生成Ed25519密钥对，把公钥写入服务器的authorized_keys，确认密钥能正常登录之后，再把sshd的PasswordAuthentication改为no。这里有个容易踩的坑：云厂商镜像常常带多个sshd配置文件，发行版自带的片段配置可能覆盖主配置文件里的设置，所以改完不要只看文件，要用sshd -T输出的最终生效值确认，并先开一个新会话验证密钥可用，再断开旧会话，避免把自己锁在门外。

第二步是系统更新与自动安全更新。先做一次全量更新，再启用unattended-upgrades，只自动安装安全更新。小机器没人天天盯着，自动安全更新是性价比最高的一项设置，能避免因为一个公开漏洞在半夜被打个措手不及。需要注意的是自动更新后偶尔需要重启才加载新内核，可以定期人工检查一次待重启状态。

第三步是fail2ban。只开sshd这一个jail对小机器就够了：它监控认证日志，同一来源多次登录失败后自动封禁一段时间。封禁时长不用设得太夸张，配合密钥登录和关闭密码登录，暴力破解基本失去意义。这一步的关键同样是验证：启动后查看jail状态，确认监控的日志路径和过滤规则与系统实际一致，否则装了也是摆设。

第四步是Swap。2G内存的机器建议加1到2G的swap文件，把swappiness调低到10左右，让它只在内存真正吃紧时兜底，而不是日常就频繁换页。验证方法是重启后看swap是否自动挂载、容量是否正确。没有swap的小机器，一旦某个进程内存失控，内核会直接杀进程，加了swap至少能换来一段缓冲时间，让人有机会处理。

第五步是开启BBR拥塞控制加fq队列。BBR是内核自带的，不需要装任何东西，两行sysctl配置、重启后确认生效即可。对跨地区访问的场景，BBR对延迟和吞吐的改善比较明显，尤其是网络路径质量一般的时候。这一项成本几乎为零，属于顺手就该开的优化。

第六步是时区与时间同步。把时区设为自己常用的时区，并确认时间同步服务在运行。日志时间对得上，后续排查问题能省很多事；很多莫名其妙的证书报错和任务调度异常，最后查出来都是时间不对。

收尾环节最重要：重启一次，然后逐项验证。密钥能登录、密码登录被明确拒绝、fail2ban状态正常、swap已挂载、BBR已生效、自动更新在工作。加固的价值不在于堆了多少配置项，而在于每一项都亲手验证过真的生效。小机器资源有限，原则是只上必需项：密钥登录、自动安全更新、fail2ban、swap、BBR，五样东西，不装面板，不加常驻负担，足够稳稳用上很久。