华为云 Flexus L 新加坡 2核1G 从开箱到可用：Debian 12 初始化与加固记录

手里这台是华为云 Flexus 应用服务器 L 实例，亚太-新加坡区域，2核1G、40G 系统盘、30M 带宽，套餐含 1024GB 流量包，系统选的 Debian 12。买来是想有个稳定的海外小机器做开发测试。这篇把从开箱到能安心用的初始化过程记下来，都是自己一步步踩过的点。

一、先重装一个干净系统

原装系统能用，但自带了厂商的监控 agent，我用着不放心，就用 DD 脚本重装了一遍纯净 Debian 12。重装前有两个教训：

1. DD 会清空整块盘，密钥也会被清掉。 重装前先确认自己手头有登录办法（控制台 VNC/CloudShell 能进去），重装完第一件事就是重新绑定 SSH 密钥。
2. 重装后主机名和监控进程都没了。 这是好事，说明装干净了；顺手把主机名改回自己想要的名字。

二、密钥登录 + 关掉密码登录

这是新机器到手最该先做的事，顺序不能错：

1. 先在控制台把自己的 SSH 公钥绑到实例上，确认密钥能正常登录。
2. 确认无误后，再去关密码登录。改 /etc/ssh/sshd_config：

PasswordAuthentication no
PubkeyAuthentication yes

3. 重启 SSH 服务验证：

systemctl restart ssh

4. 退出重登一次，确认只用密钥能进，密码登不上，才算完。

顺序错了会把自己锁外面：一定是先确认密钥能登录，再关密码登录。密码登录关掉后，之前设置的临时 root 密码也就作废了。

三、系统更新与基础工具

apt update && apt upgrade -y
apt install -y curl vim htop vnstat

新机第一件事就是把系统补丁打满，官方的安全公告要自己跟进，云平台不负责帮你打补丁。工具按自己习惯装，上面这几个是我常用的：curl 下东西、vim 改配置、htop 看资源、vnstat 看流量。

四、给 1G 内存加 1G swap

1G 内存跑点东西很容易被 OOM 杀掉，加 1G swap 文件兜底：

fallocate -l 1G /swapfile
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile
echo '/swapfile none swap sw 0 0' >> /etc/fstab

写完 fstab 先跑 mount -a 验证一下，fstab 写错了机器重启会进紧急模式，别等到下次重启才发现。

五、开 BBR

Debian 12 内核自带 BBR，打开就行，不用装内核：

echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

验证：

sysctl net.ipv4.tcp_congestion_control

输出 bbr 就是开了。

六、安全组只放必需端口

安全组是云服务器的虚拟防火墙，按最小权限原则来：入方向只放行现在就要用的端口，SSH 只留 22，其他端口一律不放，用到哪个再开哪个。端口在安全组放行后，还要确认实例里对应的服务端口确实在监听，规则才算真正生效。

七、流量看哪儿

套餐流量用多少，准数在控制台费用中心看资源包；服务器本机可以用 vnstat 看实时用量：

vnstat -d

vnstat 是从安装那一刻开始统计的，装机之前的用量它没有，要看套餐还剩多少还是以控制台为准。

八、避坑小结

• DD 重装前先想好重装后的登录办法，密钥会被清掉。
• 先确认密钥能登录，再关密码登录，顺序反了就把自己锁外面。
• fstab 改完先 mount -a 验证，别等重启进紧急模式才发现。
• 安全组别手滑把 22 关了，关了就连不上了。
• 系统补丁要自己打，定期 apt upgrade。

还可以做的

• 装 fail2ban 防 SSH 暴力破解，多一层保险。
• 重要数据定期备份，云备份可以按策略自动备。
• 有条件可以开主机安全 HSS 基础版，多一层入侵检测。

机器到手先把这几步走完，后面装什么服务都安心。新手上云，初始化这一步别图省事。