轻量服务器 Debian 12 初始化实战：从精简镜像到 fail2ban 护栏

一、为什么选精简镜像

轻量应用服务器的 Debian 12 精简镜像体积小、攻击面小，开机即用。但"精简"也意味着不少惯常依赖被裁掉，照搬网上教程会在意想不到的地方踩坑。本文记录一台新机从开机到可长期服役的完整初始化清单，以及一个典型的 fail2ban 起不来问题。

二、初始化五步

1. 换源并更新：apt update && apt full-upgrade，顺手装 curl、vim、htop；2. 时区：timedatectl set-timezone Asia/Shanghai；3. 2G swap 应对小内存机型：fallocate + mkswap + swappiness 调到 10；4. SSH 密钥登录：ssh-copy-id 上公钥，确认免密可用后再 PasswordAuthentication no；5. fail2ban：默认 sshd jail 起步，findtime 10m、maxretry 5、bantime 1h。

三、典型坑：fail2ban 起不来

精简镜像没有 rsyslog，/var/log/auth.log 不存在，fail2ban 默认的 logpath 读不到文件导致 sshd jail 失效，日志里反复报 "Have not found any log file for sshd jail"。解法很简单：jail 配置里加一行 backend = systemd，让 fail2ban 改从 systemd journal 取日志，无需额外安装 rsyslog。改完 systemctl restart fail2ban，用 fail2ban-client status sshd 验证，能看到当前失败计数即生效。

四、安全加固清单

云控制台的安全组只放行必要端口；SSH 改用密钥并禁密码；fail2ban 上线后头几个小时就能在 journal 里看到大量爆破尝试被封禁；有条件再装 unattended-upgrades 做自动安全补丁。密码类操作注意控制台重置生效有分钟级延迟，排查时先确认这点再怀疑配置。

五、小结

小内存轻量机的初始化核心是"少装、够用、留日志通路"：精简镜像 + swap + 密钥登录 + systemd 后端的 fail2ban，半小时内就能把一台裸机变成有基本护栏的长期节点。