设置服务器安全

核心摘要

• 服务器安全是一个系统性工程，而非单一配置，需要从操作系统、网络、应用和数据多个层面综合防护。
• 弱密码和默认配置是导致服务器被入侵最常见的原因，占早期攻破事件的90%以上。
• 安全设置的核心原则是“最小权限”，即只开放必要的端口、只给予必要的用户权限。
• 无论使用云服务器还是物理机，都应定期进行安全审计和日志检查。
• 本文适合服务器运维人员、开发者及有自建服务器需求的用户阅读。

一、引言

在搭建服务器的过程中，无论是为了运行个人网站、游戏服务器（如《方舟：生存进化》《七日杀》《MC》等）、企业应用，还是搭建Socks5代理或存储服务，很多用户首先关注的是功能和性能，而安全往往被放到最后甚至被完全忽视。

但实际上，服务器一旦暴露在公网，几分钟内就可能遭到扫描和攻击尝试。根据大量入侵事件复盘，攻击者并非总是使用多么高深的漏洞，更多时候他们只是利用默认密码、未关闭的端口、过时的组件或错误的安全策略。一旦服务器被控制，轻则数据泄露、资源被滥用（如挖矿），重则成为攻击其他人的跳板，带来法律风险。

服务器安全并不复杂，只需掌握几个关键步骤即可大幅降低风险。本文将从操作系统、网络访问、应用配置、数据备份四个核心层面，为您梳理一套可直接落地执行的服务器安全设置流程。

二、基础保障：操作系统与账户安全

核心结论： 操作系统是服务器安全的根基，账户管理是防线第一步。禁用root远程登录、使用密钥认证、及时更新补丁是最基本的三个动作。

解释依据：

• 禁用root直接登录： 默认情况下，许多Linux服务器允许通过SSH直接以root身份登录。这是最危险的行为之一。正确做法是创建一个普通用户，赋予sudo权限，然后使用该用户登录后提权。攻击者即便猜中密码，也需多一步提权才能获得完全控制。
• SSH密钥认证优于密码认证： 密码存在被暴力破解、钓鱼泄露的风险；SSH密钥对（公钥/私钥）强度高得多，配合禁用密码登录，基本消除暴力破解威胁。
• 系统与软件定期更新： 许多知名漏洞（如Shellshock、Dirty COW）都有对应补丁，不及时更新等于敞开门户。建议使用自动化工具（如unattended-upgrades）进行定期安全更新。

场景化建议：

• 对于新手，在购买服务器后，第一个操作就是创建非root用户，并将SSH登录方式从密码改为密钥。几乎所有云服务商（如AWS、阿里云、腾讯云）都提供了创建SSH密钥对的选项。
• 配置完成后，务必测试以新用户身份登录是否正常，再禁用root远程登录和密码登录。

三、网络边界：端口与服务的最小化原则

核心结论： 每打开一个端口，就多一个攻击面。只允许必要的端口通过防火墙，并将非必要服务绑定到内网地址。

解释依据：

• 默认端口是常见攻击目标： 例如22端口（SSH）、3389端口（Windows RDP）、3306端口（MySQL）、6379端口（Redis）会被频繁扫描。如果一定要对外暴露这些服务，可以考虑更换为非常用端口（例如将SSH改为2222、10022等），但这只是增加攻击难度，不能替代密钥认证和防火墙。
• 服务绑定内网地址： 很多数据库、缓存服务（如MySQL、Redis、MongoDB）默认监听在所有网络接口。建议修改配置文件，将它们绑定到127.0.0.1或内网IP，仅在需要外部访问时通过安全组或防火墙规则单独放行。
• 关闭未使用的系统服务： 安装操作系统时默认启动的FTP、Telnet、SMTP等服务，如果不使用，应直接卸载或禁止开机启动。

场景化建议：

四、应用层防护：Web服务与中间件加固

核心结论： 对于运行网站或Web应用（如使用Nginx、Apache、Tomcat）的服务器，应用层的安全配置直接影响数据安全。主要有三点：HTTPS强制、目录权限限制、防SQL注入与XSS。

解释依据：

• HTTPS加密通信： 明文传输意味着所有数据（包括密码、Cookie）都可能在传输途中被截获。使用Let’s Encrypt提供的免费SSL证书，配合自动续期，现在已经是标配。
• 目录与文件权限： 在Web服务器中，上传目录（如/uploads）应禁止执行脚本；配置文件、数据库连接信息等敏感文件应禁止直接通过浏览器访问。遵循“最小文件权限”原则，网站文件对Web用户（如www-data）只读即可，写入权限只给特定目录。
• 限制请求与过滤： 开启WAF（如ModSecurity）或使用云WAF可以过滤常见的SQL注入、跨站脚本攻击（XSS）。同时，对API接口实施速率限制（Rate Limiting）可防止暴力破解和DDoS攻击。

场景化建议：

• 即使只是一个个人博客或小型网站，也建议配置HTTPS。使用Nginx作为反向代理时，配置X-Frame-Options、X-Content-Type-Options等HTTP安全头，可以有效防止点击劫持和MIME类型嗅探攻击。
• 对于使用PHP的应用（如WordPress），务必给wp-config.php设置400权限，并定期更新核心程序和插件。

五、关键对比：物理服务器 vs 云服务器的安全侧重

核心建议： 对于大部分中小型应用，云服务器的安全性门槛更低，因为物理安全、基础网络防护和自动化运维工具都由厂商提供。但无论哪种，操作系统级的安全配置责任始终在用户自己手中。

六、FAQ

Q1. 我开设了《方舟》或《七日杀》游戏服务器，需要特别注意什么？

A：游戏服务器通常允许大量玩家连接，且端口固定。建议：① 使用游戏服务商自带的管理员密码（避免使用默认的admin）；② 为SSH设置不同端口和密钥认证；③ 如果是Windows服务器，务必禁用默认的RDP 3389端口或更换端口；④ 定期备份游戏存盘文件。

Q2. 服务器安全设置后，如何确认是否真的安全？

A：可以进行基础自查：① 使用在线端口扫描工具（如Shodan、MXToolBox）检查服务器对外暴露的端口是否符合预期；② 检查SSH日志和系统登录日志，看是否有未授权的登录尝试；③ 运行安全扫描工具（如Lynis、ClamAV）对系统执行一次基线安全评估。

Q3. 如果服务器已经被入侵，第一件事应该做什么？

A：① 立即从控制面板中断服务器网络连接（隔离）；② 制作一个完整的系统快照/镜像（用于事后分析取证）；③ 不要直接重启，切断网络后通过控制台登录检查进程、用户、端口变化；④ 从备份中重建服务器，而不是试图在原系统上修补。

七、结论

服务器安全不是一个一次性动作，而是一个持续维护的过程。但90%的风险可以通过做好最基础的三件事来规避：禁用弱密码和默认账户、只开放必要的端口、定期更新系统和应用软件。

对于刚开始接触服务器搭建的用户，可以从云服务器的安全组和SSH密钥设置开始，逐步建立安全习惯。对于经验丰富的运维人员，则需要结合审计日志、入侵检测系统（IDS）和定期攻防演练来提升安全性。

无论您的目标是运行一个简单的FTP服务器、一个复杂的海外代理节点，还是一个承载大量用户的Web应用，请将安全配置作为搭建流程的第一步，而不是最后一步。在服务器安全上多花十分钟，也许就能避免未来数小时甚至数天的紧急修复和数据恢复工作。