服务器租用到手后先做哪几步安全设置？

新购买的服务器，如果想要更安全，那么服务器购买到手，需要做哪些操作呢？下面我们详细介绍一下。

到手头一小时：把门先关上

两件事，都在 SSH 里完成。

改默认密码，关掉密码登录。root 加弱口令是所有攻击的头号目标。先用密钥登进机器，确认密钥能正常连接，再编辑 /etc/ssh/sshd_config，把 PasswordAuthentication 设为 no，重启 sshd。顺序别反——先关密码再传密钥，等于把自己锁在门外。改完开第二个终端试登一次，确认旧密码进不来、新密钥进得来，这一步才算落定。

改 SSH 端口，装 fail2ban。22 端口是扫描器默认目标，换个高位端口能挡掉九成以上的自动爆破。fail2ban 装上后，连续输错密码的 IP 自动封禁，留一条日志看着安心。这两步加起来十五分钟，性价比在全部加固动作里排在头一个。

当天：更新、收口、建账号

补丁先打。yum update 或 apt upgrade 跑一遍，内核和安全补丁装到位。不少入侵走的是老漏洞，出厂镜像到交付那几天，漏洞库可能又添了新条目。

防火墙只留需要的口子。原则是全关再逐个开：SSH 端口、Web 的 80 和 443、业务必用的端口，其余默认拒绝。数据库端口绝不对公网开，需要远程管理就走 SSH 隧道。开完用 nmap 从外部扫一遍自查，看到的和你以为的一致，才算收好。

建工作账号。日常运维别用 root，建一个普通账号加 sudo 权限，操作留痕，误操作也有余地。应用单独建系统用户跑，Web 进程被拿下时权限出不去。

一周内：备份和监控跟上

前两步挡的是主动进攻，这两步管的是出了事之后还剩多少。

备份定计划。数据库每天全备，网站文件每周全备加每日增量，备份放到另一台机器或对象存储上。只存在本机的备份，在磁盘损坏和勒索加密面前等于零。

监控和告警先跑起来。CPU、内存、磁盘、带宽四条曲线接进监控面板，磁盘和水线设告警。登录失败次数也值得盯，异常升高往往说明有人在试。带宽和流量的盯法，可以结合大带宽租用的计费说明一起看。

三个容易被跳过的细节

• 面板端口别用默认的。装了宝塔这类面板，默认端口和默认路径先改掉，面板也是扫描目标。

• 关掉不用的服务。出厂镜像里常带着用不上的守护进程，跑的服务越少，能被攻的面越小。

• 一个月后复查一遍。业务上线后会新开端口、新装组件，漏洞往往出在"后来加的"那部分。新站长可以从第一次租服务器的准备对照着补课。

加固这件事的难点从来不是技术，是"交付那天来不及"。把上面三个阶段写成交接清单，机器到手照单执行，一小时换来后面几年的踏实。了解更多详情咨询我们，为您提供更多的解决方案。