Linux 服务器安全基础：SSH、用户权限、防火墙和 fail2ban

一台新服务器能登录，不代表适合直接放服务。最少要把 SSH、用户权限、防火墙和暴力破解防护整理一下。

Linux 权限基础可以先看 Linux 权限命令教程：chmod、chown、umask。

不要长期用 root 直接登录

先创建普通用户：

1
adduser deploy
2
usermod -aG sudo deploy

确认普通用户能登录并使用 sudo 后，再考虑禁用 root SSH 登录。

1
PermitRootLogin no
2
PasswordAuthentication no
3
PubkeyAuthentication yes

修改后先检查配置：

1
sshd -t
2
systemctl reload ssh

不要在当前连接还没验证新登录方式前关闭终端。

SSH 密钥比密码更稳

本地生成密钥：

1
ssh-keygen -t ed25519 -C "deploy"

把公钥放到服务器：

1
ssh-copy-id deploy@server

确认密钥登录正常后，再关密码登录。

防火墙只开放必要端口

用 ufw 的话，常见配置是：

1
ufw allow OpenSSH
2
ufw allow 80/tcp
3
ufw allow 443/tcp
4
ufw enable
5
ufw status

如果服务只给内网访问，就不要把端口暴露到公网。

fail2ban 防暴力尝试

关闭密码登录之后，暴力破解的风险会低很多，但 SSH 端口仍然会被持续扫描。fail2ban 的作用是根据日志判断失败次数，超过阈值后临时封禁来源地址。

安装：

1
apt install fail2ban

最小配置：

1
[sshd]
2
enabled = true
3
maxretry = 5
4
findtime = 10m
5
bantime = 1h

重启：

1
systemctl restart fail2ban
2
fail2ban-client status sshd

日志要会看

SSH 登录日志：

1
journalctl -u ssh -n 100 --no-pager

系统服务日志可以参考 systemctl 与 journalctl 入门：管理服务和查看日志。

基础安全清单

• 普通用户登录正常
• root SSH 登录关闭
• 密码登录关闭
• 只开放 22、80、443 等必要端口
• fail2ban 正常运行
• 系统包定期更新
• 备份和恢复路径明确

总结

这些配置不复杂，但能挡住大部分低成本扫描和误操作。新服务器上线前，先确认普通用户、SSH 密钥、防火墙和 fail2ban，再继续部署业务服务。