如何加固个人网站服务器的SSH端口与防火墙防护？

我们常看到一些个人开发者辛苦搭建的网站，一夜之间被植入挖矿程序或成为攻击跳板。问题根源往往不是复杂的技术漏洞，而是基础安全设置的缺失。今天我们就从最核心的环节入手，彻底堵住服务器暴露在公网中的常见风险点。

为什么默认SSH端口是首要修改项？

公网上每分每秒都有自动化脚本在扫描22端口，试图通过暴力破解获取服务器控制权。更改默认端口能有效过滤90%以上的无效攻击流量，这是成本最低、效果最显著的第一道防线。

• 默认端口 22 是黑客扫描的首要目标，暴露即高危
• 修改为10000以上的非标准端口可大幅降低被探测概率
• 配合IP白名单使用，能构建基础访问控制屏障

操作步骤如下（以Debian/Ubuntu系统为例）：

1. 使用SSH登录服务器后，编辑配置文件：nano /etc/ssh/sshd_config
2. 找到 Port 22 这一行，将其修改为自定义端口号（如 Port 23456）
3. 保存文件并重启SSH服务：systemctl restart ssh
4. 在本地终端测试新端口连接：ssh -p 23456 user@your_server_ip
5. 确认连接成功后，再关闭旧端口监听

切记：务必先测试新端口连通性，避免误操作导致无法远程登录！

如何配置防火墙规则阻止未授权访问？

防火墙是网络流量的“守门人”，必须严格限制进出规则。我们推荐使用UFW（Uncomplicated Firewall），它语法简洁且功能强大，适合个人服务器快速部署。

• 默认策略设为拒绝所有入站连接：ufw default deny incoming
• 仅开放必要端口：网站服务用80/443，自定义SSH端口（如23456）
• 允许出站流量：ufw default allow outgoing
• 按IP限制管理端访问，例如只允许家庭网络IP连接SSH

具体命令示例：

ufw allow 23456/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow from 192.168.1.100 to any port 23456
ufw enable

启用后可通过 ufw status 查看当前规则列表，确保无多余开放端口。

SSH密钥登录比密码更安全吗？

答案是肯定的。密码认证存在被暴力破解和撞库的风险，而SSH密钥基于非对称加密，强度远超常规密码。我们强烈建议禁用密码登录，全面转向密钥认证。

• 本地生成密钥对：ssh-keygen -t ed25519（推荐）或 -t rsa -b 4096
• 将公钥内容复制到服务器的 ~/.ssh/authorized_keys 文件中
• 修改SSH配置：PasswordAuthentication no
• 重启SSH服务生效

此后登录只需本地持有私钥即可，无需输入密码，既安全又便捷。

服务器权限最小化原则怎么落实？

很多入侵事件源于权限滥用。root账号拥有最高权限，一旦泄露后果严重。我们必须遵循“最小权限”原则，限制不必要的操作能力。

风险行为	安全替代方案
直接使用root登录SSH	创建普通用户，通过sudo执行管理命令
所有服务以root运行	Web服务（Nginx/Apache）使用专用低权限用户
数据库允许公网访问	绑定127.0.0.1，仅限本地连接
PHP执行危险函数（exec/system）	在php.ini中禁用：disable_functions = exec,passthru,shell_exec

这些细节能有效缩小攻击面，即使某个服务被突破，也难以提权到系统层面。

HTTPS加密和数据备份真的必要吗？

对于个人网站，HTTPS不再是“可选项”。搜索引擎优先收录HTTPS站点，浏览器也会对HTTP页面标记“不安全”。更重要的是，它能防止传输过程中的数据窃听。

• 通过Let's Encrypt免费申请SSL证书，有效期90天，支持自动续签
• 使用Certbot工具一键部署：certbot --nginx 或 --apache
• 设置301重定向，强制所有HTTP请求跳转至HTTPS
• 数据库敏感字段（如用户密码）必须使用SHA256等不可逆算法加密存储
• 每日自动备份网站文件与数据库，备份文件加密后存至异地（如另一台服务器或云存储）

一次完整的数据备份，能在遭遇勒索软件或硬件故障时快速恢复业务，避免心血付诸东流。

选腾讯云还是阿里云更利于安全防护？

主流云平台已集成多项安全能力，远超自建机房。以腾讯云和阿里云为例，它们均提供：

• 免费的基础DDoS防护（最高可达5Gbps）
• 可选配的Web应用防火墙（WAF），防御SQL注入、XSS等常见攻击
• 安全组功能，可视化配置防火墙规则
• 云监控与日志审计，实时发现异常行为
• 漏洞扫描服务，定期检测系统与应用层风险

这些原生集成的安全组件，极大降低了个人用户的防护门槛。现在新用户还能享受超值优惠，轻量应用服务器低至几十元每月，性价比极高。

点击领取腾讯云专属优惠，快速部署你的安全服务器环境：腾讯云服务器优惠活动，点击领取

或者选择阿里云同类型高性价比方案：阿里云服务器限时折扣，点击抢购

如何监控异常行为及时响应？

再严密的防护也无法保证100%安全。我们需要建立“哨兵机制”，一旦发生异常立即告警。

• 安装OSSEC或Fail2ban，监控登录日志，自动封禁频繁尝试的IP
• 设置CPU使用率阈值告警，防止服务器被用于挖矿
• 定期检查开放端口：netstat -tuln，发现未知监听进程立即排查
• 使用AIDE等工具做文件完整性校验，防止核心文件被篡改

真正的安全不是一劳永逸的设置，而是持续的观察与响应。

常见问题

Q：修改SSH端口后无法连接怎么办？
A：首先确认防火墙是否放行新端口。若仍无法连接，可通过云平台提供的VNC控制台登录，检查 /etc/ssh/sshd_config 配置是否正确，并重启SSH服务。

Q：Let's Encrypt证书快到期了会自动续签吗？
A：Certbot默认会添加cron任务自动续签。可通过 certbot renew --dry-run 测试续签流程是否正常。

Q：数据库密码加密存储用MD5可以吗？
A：MD5已不推荐用于密码存储，因其存在碰撞风险。应使用更安全的算法如SHA256，或专用密钥派生函数如bcrypt、Argon2。

Q：个人网站有必要上WAF吗？
A：如果网站包含用户交互功能（如评论、登录、表单），建议启用WAF。腾讯云和阿里云的WAF基础版价格合理，能有效拦截自动化攻击。

Q：备份频率设为多久一次合适？
A：根据内容更新频率决定。静态博客可每周备份，动态网站建议每日备份。重要数据变更后应立即手动备份一次。

温馨提示：云服务商优惠信息实时变动，本文内容仅供参考，最终价格请以官方活动页面最新公示为准。