Debian 12 新服务器到手后，我必做的 5 件初始化事

刚拿到一台新云服务器，系统是纯净的 Debian 12。在正式部署业务之前，我习惯先把下面 5 件事做完，都是这周刚实操过的，记录下来供参考。

1. 只留密钥登录，关掉密码登录

密码登录是被爆破的重灾区。生成密钥对、把公钥放进 ~/.ssh/authorized_keys 之后，在 /etc/ssh/sshd_config.d/ 里加一个配置文件，写上 PasswordAuthentication no，重启 sshd。注意先确认密钥能登进去，再关密码，不然容易把自己锁在外面。

2. 开启 BBR + fq

Debian 12 内核自带 BBR 模块，不用换内核。配置写进 /etc/sysctl.d/99-netopt.conf：net.core.default_qdisc = fq、net.ipv4.tcp_congestion_control = bbr，再把 tcp_bbr 写进 /etc/modules-load.d/ 保证重启后自动加载。sysctl --system 生效后用 sysctl net.ipv4.tcp_congestion_control 验证输出 bbr 即可。高延迟链路上体感差别很明显。

3. 打开自动安全更新

装 unattended-upgrades 并启用 apt-daily-upgrade.timer，让系统自己打安全补丁。一台长期在线的机器，最大的风险往往不是配置，而是没人管的旧漏洞。

4. 顺手调几个 TCP 参数

在同一个 sysctl 配置里加上 net.ipv4.tcp_mtu_probing = 1（应对 MTU 黑洞）、net.ipv4.tcp_fastopen = 3、net.ipv4.tcp_slow_start_after_idle = 0，再把 rmem_max/wmem_max 提到 16MB。小机器没必要堆太多参数，这几个够用。

5. 验证一遍再交付

改完配置别急着断开：新开一个 SSH 会话确认能登录；ss -tlnp 看监听端口是不是只有你想要的；systemctl is-active 逐个确认关键服务状态。确认无误再关掉旧会话，这个顺序能避免大多数“把自己锁在门外”的事故。

以上都是个人习惯，欢迎交流补充。