Linux 服务器基础安全加固清单
在 云数方舟 交付的每一台独立服务器——无论是 香港独立服务器（CN2 GIA）、新加坡独立服务器（E3 / E5-2660 系列），还是 美国 GPU 服务器（达拉斯物理 GPU / vGPU）——交付后第一件事都应是做基础安全加固。以下为云数方舟运维团队的内部标准清单，适用于 CentOS / Rocky / Alma / Ubuntu 等常见发行版。
1. SSH 访问收敛。立即修改默认 22 端口为高位闲置端口（如 22222），编辑 /etc/ssh/sshd_config 设置 PermitRootLogin no，创建普通用户并加入 sudo 组，重载 sshd。对 日本独立服务器 等国际带宽节点，这一步能直接干掉半数暴力破解扫描。
2. 防火墙与 fail2ban。开启 firewalld / ufw 仅放行新 SSH 端口、业务端口（如 80/443），其余拒绝；安装 fail2ban 对 SSH 做重试封锁（maxretry=3，bantime=1h）。若机器挂在 高防 IP 解决方案 后端，也需在本地做二层过滤，避免清洗中心放过后的漏网流量。
3. 系统与软件补丁。配置无人值守更新（yum-cron / unattended-upgrades）仅自动装安全补丁，内核更新后按计划重启；对 洛杉矶独立服务器 上跑的 EPYC 大内存机型，重启前需迁移容器或通知 K8s 漂移，避免业务中断。
4. 权限与审计基线。检查 /etc/passwd、/etc/shadow 权限；设 umask 027；安装 auditd 记录特权命令；对 圣何塞独立服务器 多 C 段 IP 环境，需核实用户是否跨 IP 段违规互访。云数方舟规范要求所有生产机禁用明文密码文件，密钥统一托管。
5. 服务最小化。关闭 postfix / cups / rpcbind 等非必需服务，减攻击面。GPU 物理机（如达拉斯 8卡 4090）若不需外部管控端口，建议只留 SSH 与内部监控端口，业务端口通过 香港高防服务器 或高防 IP 反向代理。
这套清单不保证“绝对安全”，但能把入侵门槛从“脚本小子随便进”抬到“需定向渗透”。在云数方舟的混合架构里，香港做接入、新加坡做数据、达拉斯做训练，每一层都按此基线硬化，才能避免单点失守拖垮全局。
📌 查看云数方舟各节点服务器与安全方案：
云数方舟官网 ｜ 香港独立服务器（CN2 GIA） ｜ 新加坡独立服务器 ｜ 日本独立服务器 ｜ 洛杉矶独立服务器 ｜ 圣何塞独立服务器 ｜ 美国 GPU 服务器 ｜ 高防 IP 解决方案 ｜ 香港高防服务器
本文由 云数方舟 技术团队原创发布，转载请注明出处。
