香港云服务器购买恒创后如何进行安全配置和访问控制

1.

首次登录与初始化（建议立即完成）

步骤1：使用恒创控制台获取公网IP和初始密码/密钥；
步骤2：如果是Linux，先以root或提供账号SSH登录：ssh root@IP -p 22；
步骤3：立即更新系统：Debian/Ubuntu: apt update && apt upgrade -y；CentOS: yum update -y；

2.

创建非root用户并设置sudo（减少直接使用root）

1) 新建用户并设置密码：adduser deploy && passwd deploy；
2) 将用户加入sudo组：usermod -aG sudo deploy（Ubuntu）或usermod -aG wheel deploy（CentOS）；
3) 切换并测试sudo：su - deploy && sudo -i；

3.

配置SSH密钥认证并禁用密码登录

步骤1：本地生成密钥：ssh-keygen -t rsa -b 4096 -f ~/.ssh/heng_id_rsa；
步骤2：将公钥追加到服务器：ssh-copy-id -i ~/.ssh/heng_id_rsa.pub deploy@IP；或手动将内容追加到~/.ssh/authorized_keys；
步骤3：编辑 /etc/ssh/sshd_config：PermitRootLogin no、PasswordAuthentication no、PubkeyAuthentication yes；
步骤4：重启SSH服务：systemctl restart sshd（或 service ssh restart）；

4.

更改默认SSH端口与限制登录来源（提高安全性）

1) 修改sshd_config中Port 22为其他端口（例如22022）；
2) 在恒创控制台安全组/防火墙规则里同步开放新端口并关闭22端口；
3) 可限制仅允许特定管理IP访问SSH：在安全组添加来源IP白名单；

5.

配置主机防火墙（ufw/iptables/firewalld）

Ubuntu建议使用ufw：ufw allow 22022/tcp && ufw allow http/tcp && ufw enable；
CentOS使用firewalld：firewall-cmd --permanent --add-port=22022/tcp && firewall-cmd --reload；
如需更细粒度：使用iptables规则并保存（iptables-save > /etc/iptables.rules）；

6.

启用Fail2ban防暴力破解

安装：apt install fail2ban -y 或 yum install epel-release && yum install fail2ban -y；
创建 /etc/fail2ban/jail.local 示例：[sshd] enabled = true port = 22022 maxretry = 5 bantime = 3600；
重启服务：systemctl enable --now fail2ban；并通过 fail2ban-client status sshd 检查状态；

7.

使用恒创控制台的安全组、私有网络与快照功能

1) 在控制台创建安全组规则，只放开必须端口（SSH、HTTP、HTTPS、应用端口）；
2) 若提供私有网络/VPC，建议部署数据库等内网实例，管理通过跳板机或VPN访问；
3) 定期创建磁盘快照/镜像用于灾备：控制台一键快照并下载或异地保存；

8.

搭建跳板机（Bastion Host）与VPN访问

1) 在公网放置一台受控跳板机，仅允许管理IP访问；
2) 其他管理流量通过SSH代理/ProxyJump或内网访问：ssh -J jumpuser@jumpIP targetuser@targetIP；
3) 可部署OpenVPN或WireGuard在跳板机上，让运维通过VPN进入私有网络；

9.

应用层安全与数据库访问控制

1) 数据库绑定内网地址（如127.0.0.1或私有IP），禁止对公网开放；
2) 为数据库创建最小权限账号，并使用强密码或证书认证；
3) Web服务启用HTTPS（Let's Encrypt），配置HSTS与安全头；

10.

日志、备份与监控（持续安全）

1) 开启系统日志轮转，集中化日志到ELK或外部syslog；
2) 设置自动备份脚本（rsync或定期快照），示例crontab：0 3 * * * /usr/bin/rsync -a /var/www/ /backup/www/；
3) 部署监控（Prometheus+Alertmanager或云监控），设置磁盘/CPU/网络异常告警；

11.

加固内核与权限（SELinux/AppArmor/文件权限）

1) 对于CentOS启用SELinux：getenforce 查看，临时 setenforce 1；
2) 设置关键目录权限：chown -R www-data:www-data /var/www && chmod -R 750 /var/www；
3) 安装AIDE做文件完整性校验并配置定期检测；

12.

常见维护命令与应急步骤（便捷参考）

1) 查看防火墙规则：ufw status 或 firewall-cmd --list-all；
2) 恢复SSH配置：在控制台使用VNC或序列终端修复 /etc/ssh/sshd_config；
3) 被攻破时：立即隔离实例（断公网）、导出日志、从快照恢复备用节点；

13.

问：购买恒创香港云服务器后最先要做的三件事是什么？

答：第一更改默认密码并更新系统；第二创建非root用户并配置SSH密钥认证，禁用root密码登录；第三在恒创控制台设置安全组只开放必须端口并启用私有网络或快照策略。

14.

问：如何在恒创控制台与服务器上同步防火墙规则以避免被锁死？

答：先在控制台安全组开放管理IP和端口，再在服务器端配置防火墙；修改SSH端口时，先在控制台放行新端口并测试连通后再关闭旧端口，必要时使用控制台提供的串口/恢复模式。

15.

问：如果担心DDoS和应用层攻击，恒创提供哪些建议或功能？

答：优先启用恒创的防DDoS或WAF服务，把外部流量先通过WAF筛选，使用负载均衡+弹性伸缩分摊流量，并对静态资源启用CDN以减少直接负载。

来源：香港云服务器购买恒创后如何进行安全配置和访问控制