刚买来的新服务器，很多人第一步就直接装宝塔、放网站，其实这是大忌。我见过太多刚装完环境第二天就被入侵、挂黑链、被挖矿的例子，都是第一次登录图省事，后面补都补不回来。今天把我每次新服务器上线必做的10个安全设置列出来，照着做，基本能挡掉90%的新手攻击。
1. 改默认SSH端口，别用22
默认22端口每天会被扫几万次，不管密码多复杂，脚本扫到就会爆破。在宝塔的安全设置里，把SSH端口改成10000-65535之间的随机数，比如58231，改完记得在防火墙放行这个端口，不然下次就登不上了。
2. 禁止root账号直接登录
新建一个普通用户，给sudo权限，然后把sshd_config里的PermitRootLogin改成no。这样哪怕别人扫到端口，也不知道用户名，爆破都没地方下手。我现在的服务器，root账号除了第一次初始化，后面基本不用。
3. 设置强密码，别用纯数字
密码别用123456、admin、服务器IP这种，长度至少12位，大小写字母加数字加符号。我自己的习惯是用密码管理器生成，记在本地，从来不用脑子记。
4. 开启SSH密钥登录，关掉密码登录
把本地的公钥上传到服务器的.ssh目录，然后把PasswordAuthentication改成no。这样哪怕密码漏了，没有你的私钥根本登不上，这是目前最安全的方式。
5. 只放行需要的端口
防火墙默认只开80、443、你改的SSH端口、宝塔面板端口，其他所有端口全关。别图省事开0.0.0.0/0，这样等于把服务器所有门都敞着。
6. 装宝塔面板的时候，别用默认端口和默认路径
宝塔安装完给的随机路径一定要记好，别用默认的8888端口，面板端口改成随机的，访问路径也用随机字符串，别让别人直接扫到你的登录页。
7. 关闭不必要的服务
新服务器默认开的sendmail、postfix这些邮件服务，如果你不发邮件，直接关掉，占内存还容易被攻击。我一般刚装完系统，先把用不到的服务全停了，再装需要的环境。
8. 设置自动更新安全补丁
Debian/Ubuntu系统，开启自动安全更新，不用手动天天补补丁。很多入侵都是因为系统有公开漏洞，没打补丁被扫到，直接进来。
9. 配置定期自动备份
别等网站被黑了才想起来备份。设置每天自动备份网站文件和数据库，备份文件存到对象存储或者本地另一个目录，保留最近7天。我之前有个客户服务器被勒索病毒，就是因为没备份，最后只能交钱解密。
10. 开启日志审计
把SSH登录日志、宝塔操作日志、Nginx访问日志都记下来，每周看一次，有没有异常登录、异常IP访问。我现在的服务器，只要有异地IP尝试登录，都会给我发邮件提醒。
最后说一句
很多人觉得我一个小站，没人会攻击，其实现在的攻击全是自动化脚本，根本不管你站大站小，扫到就打。等你网站被挂了博彩链接、被百度降权，再回头补这些设置，损失就大了。新服务器第一次登录，花20分钟把这10项设置完，后面省心一整年。
本站源码来源于网络收集修改或者交换，甚至可能并非原创，如遇未经考证信息需持审慎态度。若有疑问，可联系本站处理。