华为云小白第十四课：服务器安全加固——别让博客成别人的矿机

博客能打开只是第一步，还有一件事小白最容易忽略：你的服务器正挂在公网上，全世界的扫描器每天都在挨家挨户敲门，试试能不能猜进你的 SSH、能不能钻进你的后台。防住了没事，防不住，博客就可能变成别人挖矿、发垃圾邮件的肉鸡。加固不难，几处顺手做完，门就结实多了。

先分清三道门

服务器的安全有三层，前面两课其实已经讲过两层：

• 第二课的安全组，是大门口的门卫，管哪些端口能从外面敲门。
• 第十课的 WAF，是站在网站门口的保安，拦的是冲着网站来的坏请求。
• 这一课要补的，是服务器自己的锁：SSH 登录、账号密码、系统补丁。门卫和保安再尽责，锁本身是纸糊的也没用。

第一把锁：SSH 别再用密码登录

SSH 就是你远程管服务器的那扇后门，默认用密码登录，等于把钥匙藏在门垫底下——扫描器可以一天试几万个弱密码。改成密钥登录：

• 在自己电脑上生成一对密钥，把公钥放进服务器，把私钥留在自己电脑上。
• 服务器上关掉密码登录，只认密钥。没私钥的人，连试密码的机会都没有。
• 私钥别发给别人、别传网盘，丢了就等于钥匙丢了，及时换一对新的。

第二把锁：别用 root 天天干活

root 是服务器的最高权限账号，拿到它就等于拿到整台机器。平时管理用普通账号，需要提权时再临时切换，别图省事天天挂着 root。顺带一句：root 的密码也别设成生日、123456 这种，设了也白设。

第三把锁：SSH 端口换个不常用的

SSH 默认是 22 端口，全世界的扫描器第一个敲的就是它。换成一个不常用的高位端口（比如 22222 以上的），敲门的人立刻少九成。这招防不住有心人，但能挡掉绝大多数漫无目的的扫描，日志也清净得多。换完记得回第二课的安全组里放行新端口、再关掉 22，别把自己锁在门外。

第四把锁：装个自动拉黑的看门狗

总有漏网之鱼还在试密码，装个 fail2ban 这类工具：同一个 IP 短时间输错几次密码，就自动把它拉黑一段时间。相当于门口多了个记仇的保安，试错成本一下子上去了。宝塔面板里就有现成的 Fail2ban 插件，装上、启用就行。

第五把锁：系统补丁别拖

系统和面板时不时推安全补丁，修的往往是已经公开的漏洞——补丁一出，漏洞的利用方法也就公开了，拖着不打等于把门开着等人来。宝塔面板、系统更新提示出来就抽空打上，打之前按第六课先拍个快照，万一出问题还能回来。

最容易踩的坑

• 只改一处就觉得安全了：密钥、端口、拉黑、补丁是组合拳，单出一招都不够。
• 换端口不改安全组：换了端口却忘了放行，结果是自己进不去，别人也进不去——先放行新端口，确认能登录，再关旧端口。
• 私钥到处传：私钥一上网盘、一进聊天记录，就等于钥匙满天飞，密钥登录也白搭。

小结

加固就五件事：SSH 改密钥登录、不天天用 root、端口换个不常用的、装个输错拉黑的工具、补丁及时打。都不难，半小时能做完，做完你的博客就从“随手能推开的门”变成了“得费大劲才撬得动的门”。扫描器都是欺软怕硬的，门结实了，它自然去敲下一家。