新VPS初始化清单：8步配置从SSH加固到自动备份

拿到一台新 VPS，装好系统只是开始。真正决定这台机器能不能用得顺、扛不扛得住、出了事能不能救回来的，是接下来这几步配置。很多人跳过这些直接部署应用，等到被扫描、被爆破、内存爆掉、或者误删文件时才后悔。这篇给出一套从登录到上线的完整初始化清单，每条命令都能直接复制执行。

一、第一件事：创建普通用户，别用 root 裸奔

新机器默认只有 root，而 root 能做的事没有边界。一旦密码泄露或被爆破，等于把整台机器交出去。

第一步：创建新用户并授予 sudo 权限。

adduser deploy
usermod -aG sudo deploy    # Debian/Ubuntu
usermod -aG wheel deploy   # CentOS/RHEL

第二步：把公钥复制给新用户。在本地执行（不是服务器上）：

ssh-copy-id deploy@你的服务器IP

或者手动把本地 ~/.ssh/id_rsa.pub 的内容，追加到服务器上的 /home/deploy/.ssh/authorized_keys。

第三步：先把新用户登录测试通过，再改 root。这一步的顺序很重要——先确认新用户能登录，再去限制 root，否则可能把自己锁在外面。

二、SSH 加固：把爆破挡在门外

公网上的 SSH 端口每天都在被扫。不加固的话，日志里很快会出现成千上万次失败登录。

编辑配置：

sudo nano /etc/ssh/sshd_config

要改的三处：

PermitRootLogin no
PasswordAuthentication no
Port 2222

逐条解释为什么：

PermitRootLogin no——禁止 root 直接登录。攻击者知道 root 这个用户名一定存在，禁掉它等于砍掉一半的爆破目标。

PasswordAuthentication no——只允许密钥登录。这是最有效的一条，因为密码可以被猜、被撞库，而私钥不能。但注意：设置之前必须确认密钥登录已经可用。

Port 2222——换掉默认的 22 端口。这不是真正的安全措施（端口扫描照样能找到），但能过滤掉大量无差别扫描脚本，让日志清静很多。

改完必须重启服务并立即验证：

sudo systemctl restart sshd
# 不要断开当前会话！先开一个新终端测试能否登录

这一步的纪律：改完配置后，保持当前会话不要关闭，另开一个窗口测试。如果新窗口登不上，可以在旧会话里改回来。直接关掉会话的后果是永久失去访问权限，只能重装系统。

三、防火墙：只开必要的端口

默认情况下，服务监听什么端口，外部就能访问什么端口。很多安全事件的原因很简单：数据库端口暴露在公网。

用 ufw（Debian/Ubuntu）：

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

顺序很关键：先加放行规则，再 enable。如果先 enable 而没放行 SSH 端口，会立刻被锁在外面。

用 firewalld（CentOS/RHEL）：

sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

一个容易忽略的点：数据库和应用端口不要对外开放。如果 Web 应用和数据库在同一台机器，数据库只监听本地回环即可，外部完全访问不到。检查方法：

ss -tlnp

这条命令会列出所有监听端口。如果看到 0.0.0.0:3306 这样的，说明 MySQL 对外开了，应该改成 127.0.0.1:3306。

四、系统更新与时间同步

这两件事看起来琐碎，但都涉及安全。

更新系统：

sudo apt update && sudo apt upgrade -y    # Debian/Ubuntu
sudo yum update -y                        # CentOS

为什么要立刻更新？镜像可能是一两个月前打的包，期间发布的安全补丁都还没装上。带已知漏洞上线，等于开着门。

开启自动安全更新（Debian/Ubuntu）：

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure --priority=low unattended-upgrades

时间同步：

timedatectl status
sudo timedatectl set-timezone Asia/Shanghai
sudo timedatectl set-ntp true

时区为什么重要？因为日志、证书有效期、定时任务都依赖系统时间。时区错误会导致你排查问题时看错时间点，证书也可能因为时间偏差而验证失败。

五、性能基线：装完就测，留作日后对比

这一步很多人跳过，但它的价值在「以后」才体现。

内存：

free -h

看 available 列，不是 free 列。Linux 会把空闲内存拿去做缓存，free 显示很小是正常的，看到 free 只有几百兆不必惊慌。

磁盘：

df -h
df -i

df -i 容易被忽略。它看的是 inode 使用率。有一种故障是空间还剩很多、但 inode 用完，表现同样是无法创建新文件，在小文件极多的场景很常见。

写入速度：

dd if=/dev/zero of=testfile bs=1M count=512 conv=fdatasync
rm -f testfile

记下这个数字。以后觉得机器变慢时再跑一次对比——如果写入速度掉了一半，说明磁盘或 IO 出了问题。

网络：

curl -o /dev/null -w "%{speed_download}\n" http://speedtest.tele2.net/100MB.zip

返回值除以 131072 就是 Mbps。这个数字就是这台机器的实际下载能力基线。

六、自动备份：最容易被跳过的一步

所有配置里，备份是唯一在你出错时能救命的。防火墙配错了还能重来，SSH 锁了能重装，但数据没了就是没了。

最简单的方案：用 rsync 定期同步到另一台机器。

rsync -avz --delete /var/www/ user@备份机IP:/backup/www/

参数说明：-a 归档模式（保留权限时间），-v 显示过程，-z 传输压缩，--delete 让目标端与源端保持一致。

--delete 要谨慎使用。它会让目标端删除源端已不存在的文件。好处是能同步删除操作，坏处是如果源端被误删，同步后备份也没了。更安全的做法是用 --backup 保留被删文件，或者干脆做多份不同时间点的快照。

加入定时任务：

crontab -e
# 每天凌晨 3 点执行
0 3 * * * /usr/bin/rsync -avz /var/www/ user@备份机IP:/backup/www/

cron 时间格式回顾：五个字段依次是「分 时 日 月 周」。0 3 * * * 表示每天 3 点 0 分。如果要每 6 小时一次：0 */6 * * *。

最关键的纪律：备份必须验证过一次恢复。很多人做了备份却从没恢复过，真出事时才发现备份文件是空的或损坏的。建议每月至少手动恢复一次到测试目录，确认文件能正常读取。

七、五家可纳入对比的渠道方向

在现有渠道里，以下几家在地区与配置弹性上值得纳入对比。重点：它们的公开描述没有给出具体的系统镜像与技术支持范围，实际参数需自行确认。

DigitalVirt：美国洛杉矶、香港、日本东京、德国法兰克福、英国伦敦五地，标注 CN2 GIA / 9929 / CMIN2 / 4837 四套线路。如果初始化后要跑国内访问的业务，线路可选性很重要。

恒创科技：标注 CN2 / GIA / BGP / HGC，具有自有 ASN 与 APNIC/ARIN 会员资质。自有 ASN 在配置反向解析时有实际用处。

Zorocloud：覆盖美国 CERA 高防、新加坡、香港、台湾、英国等地，提供原生 IP 与家宽属性。如果初始化后要对外提供服务，高防节点值得考虑。

CloudCone 与 vollcloud 提供多地区 VPS 产品线。对比时可以重点看它们是否提供快照与快照恢复功能——这比自己搭备份方案省事。

Backwaves 走 9929 / AS10099（CUG）联通精品网。国内团队日常运维的场景，线路体验会更好。

注意：以上都是商家公开描述。本文所有命令都不依赖具体商家，任何一台 Linux VPS 都能照做。

八、结论：初始化决定了后面所有事

一、先建普通用户，再限制 root。顺序不能反——先确认新用户能登录，再去动 root 的配置，否则可能把自己锁在门外。

二、SSH 只留密钥登录，这是最有效的一条。改端口能减少扫描噪音，但真正的防线是禁用密码。改完配置不要关当前会话，先另开窗口验证。

三、防火墙先放行再启用，数据库只监听本地。顺序错了会立刻失去连接。用 ss -tlnp 检查有没有服务暴露在 0.0.0.0。

四、备份必须验证恢复。做了备份却没恢复过，等于没有备份。每月手动恢复一次，确认文件能正常读取。

最后一句：这份清单做下来大约一小时，但能省掉后面几个月的麻烦。尤其是 SSH 加固和备份这两项——它们不提升性能，只在出事时起作用，所以最容易被跳过。而恰恰是这两项，决定了你出事那天是从容还是崩溃。

本文所涉 Linux 系统配置、SSH 加固方法、防火墙规则与备份策略均整理自公开技术文档与通用运维实践，为 2026 年 11 月查询所得。命令语法以主流发行版为准，不同版本可能存在差异，执行涉及 SSH 与防火墙的配置前请务必保留当前会话并做好回滚准备。文中对渠道的描述均来自其公开页面，未做实测验证。安全配置应根据实际业务风险自行评估，本文不构成任何安全保证。本文内容仅供参考，不构成任何购买承诺，亦不代表本站立场。读者应独立判断、自行决策，因执行命令或使用相关产品所产生的直接或间接损失，作者及本站不承担任何责任。