Linux服务器安全加固完整指南：从零开始加固Linux服务器安全，防止入侵和数据泄露的实用方案。本文为tutorial类教程，发布于2026-03-27，已有6次阅读。由ONE社区整理发布，所有教程内容免费开放。
Linux服务器安全加固完整指南：从零开始保护你的服务器
为什么安全加固至关重要
当你把服务器暴露在公网上的那一刻，它就开始面临来自全球的攻击尝试。一台新上线的服务器，平均每天会收到数百次SSH暴力破解尝试和端口扫描。如果不做安全加固，服务器被入侵只是时间问题——轻则被植入挖矿程序消耗你的计算资源，重则数据被窃取或被勒索加密。
本文将系统介绍Linux服务器（以Ubuntu/CentOS为例）的安全加固措施，按照优先级从高到低排列。
第一优先级：SSH安全
SSH是服务器管理的主要入口，也是攻击者的首要目标。
禁用root远程登录
默认情况下root用户可以通过SSH直接登录，这给暴力破解提供了一个已知的用户名。修改SSH配置文件/etc/ssh/sshd_config，设置PermitRootLogin no，然后创建一个普通用户用于日常管理，需要root权限时使用sudo。
使用SSH密钥认证
SSH密钥认证比密码认证安全得多——暴力破解一个2048位的RSA密钥在数学上是不可行的。在本地生成密钥对，将公钥上传到服务器的~/.ssh/authorized_keys文件，然后在sshd_config中设置PasswordAuthentication no禁用密码登录。
更改SSH端口
将SSH默认端口从22改为一个高端口号（如22222或其他），可以避开大多数自动化扫描工具的攻击。虽然这不是真正的安全措施（安全领域称之为"security through obscurity"），但它能有效减少90%以上的自动化攻击噪音。
配置Fail2Ban
Fail2Ban监控SSH登录日志，当检测到某个IP多次登录失败后自动将其加入防火墙黑名单。安装后几乎零配置就能生效，是防止暴力破解的必备工具。
第二优先级：防火墙配置
UFW防火墙（Ubuntu推荐）
UFW是Ubuntu自带的防火墙管理工具，命令简洁易用。基本策略：默认拒绝所有入站连接，只开放需要的端口。
核心命令：启用防火墙、允许SSH端口、允许HTTP/HTTPS、查看规则状态。原则是最小开放——只开放业务必需的端口，其他一律关闭。
iptables（CentOS/通用）
iptables是Linux最底层的防火墙工具，功能强大但配置复杂。建议使用firewalld或ufw作为iptables的前端管理工具。
安全组（云服务器）
如果使用阿里云、AWS等云服务器，除了操作系统防火墙外，还要在云平台的安全组中配置入站规则。两层防火墙形成纵深防御。
第三优先级：系统更新与补丁
自动安全更新
配置系统自动安装安全补丁。Ubuntu使用unattended-upgrades包，CentOS使用yum-cron。安全补丁通常只修复漏洞不改变功能，自动安装的风险很低。
定期全量更新
每月至少手动执行一次完整的系统更新，检查是否有需要重启的内核更新。
第四优先级：用户与权限管理
sudo权限控制
不要让所有用户都拥有sudo权限。创建专门的管理组，只有需要的用户加入该组。配置sudoers文件时使用visudo命令以避免语法错误锁死自己。
密码策略
设置密码复杂度要求和过期策略。使用PAM模块强制密码长度、特殊字符等要求。对于多人使用的服务器，设置密码定期更换策略。
审计日志
确保系统日志（syslog、auth.log）正常记录，定期检查异常登录记录。可以配置日志转发到专门的日志服务器，防止攻击者入侵后清除日志痕迹。
第五优先级：应用安全
Web服务器加固
如果运行Nginx或Apache，隐藏服务器版本信息、禁用目录列表、配置适当的安全响应头（X-Frame-Options、X-Content-Type-Options、Content-Security-Policy等）。
数据库安全
确保数据库不对外网开放（只监听localhost或内网IP）。修改默认端口、设置强密码、定期备份。
SSL/TLS配置
所有对外服务都应启用HTTPS。使用Let's Encrypt获取免费SSL证书，配置自动续期。禁用过时的TLS版本（TLS 1.0和1.1），只启用TLS 1.2和1.3。
安全监控
入侵检测
安装和配置入侵检测工具如AIDE（文件完整性监控）或ClamAV（恶意软件扫描）。当系统文件被异常修改时及时告警。
资源监控
异常的CPU、内存、网络使用可能是入侵的信号（如挖矿程序会导致CPU持续100%）。使用htop、netstat等工具定期检查系统资源使用情况。
安全检查清单
部署新服务器时按以下清单逐项确认：SSH密钥认证已启用且密码登录已禁用、root远程登录已禁用、防火墙已启用且只开放必要端口、Fail2Ban已安装运行、自动安全更新已配置、数据库不对外网开放、SSL证书已配置且自动续期、定期备份已设置。
安全是一个持续的过程而非一次性的任务，建议每月进行一次安全审查。