新购香港 EPYC 云主机必跑 4 条命令
刚拿到 香港 EPYC 云主机，你是不是迫不及待就想部署网站？慢着。香港节点作为面向大陆的接入枢纽，暴露在公网的攻击面极大。很多”莫名其妙”的宕机，其实是因为新机安全基线没打好。云数方舟 香港云主机底层采用 AMD EPYC 7742 或 7H12 处理器，性能强劲，但默认配置偏向通用。第一小时内，花 5 分钟跑完下面 4 条命令，能挡掉 90% 的自动化攻击，并提升网络与磁盘性能。
1. 改 SSH 端口 + 禁 Root 登录（防暴力破解）。默认 22 端口是全世界脚本的第一个扫描目标。执行：sed -i 's/#Port 22/Port 2222/g' /etc/ssh/sshd_config && sed -i 's/#PermitRootLogin yes/PermitRootLogin no/g' /etc/ssh/sshd_config && systemctl restart sshd
这里将端口改为 2222（可自行选 1024–65535 间未被占用的端口），并禁止 Root 直接登录。之后请用普通用户登录，再用 su - 或 sudo 提权。这是最基础也是最有效的防暴力破解手段。注意：修改后务必确认新端口可连接，再断开当前会话，否则可能被锁在门外。
2. 开启 BBR 拥塞控制（提网速）。香港云主机到大陆的链路长、延迟高，开启 Google BBR 算法能显著提升 TCP 吞吐量，尤其是在有一定丢包的跨境链路上。执行：echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf && echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf && sysctl -p
验证：sysctl net.ipv4.tcp_congestion_control，输出应为 bbr。EPYC 处理器的高性能配合 BBR，能让香港 Premium（CN2）线路的低延迟优势发挥到极致。对于 香港独立服务器，此操作同样适用。
3. 设置 SWAP 交换分区（防 OOM）。云主机内存通常较小（如 1GB/2GB），当物理内存耗尽时，系统会触发 OOM Killer 杀掉进程（如 MySQL、PHP-FPM）。设置 SWAP 能作为内存溢出的缓冲池。执行：fallocate -l 2G /swapfile && chmod 600 /swapfile && mkswap /swapfile && swapon /swapfile && echo '/swapfile none swap sw 0 0' >> /etc/fstab
这里设置了 2GB 的 SWAP（建议大小为物理内存的 1–2 倍）。虽然 NVMe SSD 上的 SWAP 速度远慢于 RAM，但”慢”总比”进程被杀”强。对于内存较大的物理机，SWAP 可适当减小。
4. 安装 fail2ban（自动封 IP）。这是一道动态防火墙，能自动检测暴力破解并尝试封禁来源 IP。执行：apt update && apt install fail2ban -y && systemctl enable fail2ban && systemctl start fail2ban
默认配置即可生效，它会监控 SSH 日志，多次失败后将 IP 加入 iptables 黑名单。你可以通过以下命令查看状态：fail2ban-client status sshd
对于运行 Web 服务的机器，还可以配置 fail2ban 监控 Nginx/Apache 日志，封禁恶意爬虫或 CC 攻击 IP。
| 命令序号 | 安全/性能目标 | 核心命令 | 验收标准 |
|---|---|---|---|
| 1 | 防 SSH 暴力破解 | 改 sshd_config 端口，禁 Root | 新端口可登录，22端口不可达 |
| 2 | 提升跨境网速 | sysctl 开启 BBR | tcp_congestion_control = bbr |
| 3 | 防内存溢出 OOM | 创建并挂载 SWAP 文件 | free -h 显示 Swap 容量 |
| 4 | 自动封禁恶意 IP | 安装并启动 fail2ban | fail2ban-client status 显示活跃 |
行动建议。这 4 条命令是香港云主机的”出厂设置”，建议在首次开机后立即执行，并截图保存配置。之后部署业务（如 LNMP、Docker）时，这些安全基线会自动生效。如果你的业务对安全性要求极高（如金融、支付接口），还需进一步配置 UFW/iptables 防火墙规则，仅开放必要的端口（如 80, 443, 2222）。对于需要更高隔离性的场景，可考虑升级至 香港独立服务器，获得独占的硬件资源与网络端口。记住：安全是 1，性能是后面的 0，没有 1，再多的 0 也没有意义。
📌 查看云数方舟香港节点方案：
云数方舟官网 ｜ 香港云主机（AMD EPYC） ｜ 香港独立服务器 ｜ 高防 IP 解决方案
本文由 云数方舟 技术团队原创发布，转载请注明出处。
