Dejavu's Blog
·
新到手的 Linux 服务器，我这样设置
内容提要
本文概述了新 Linux 服务器的基本设置步骤，包括重装 Debian 系统、SSH 安全配置、UFW 防火墙、Nginx 和 Docker 的安装，提供了快速参考手册。
关键要点
-
新 Linux 服务器的基本设置步骤包括重装 Debian 系统、SSH 安全配置、UFW 防火墙、Nginx 和 Docker 的安装。
-
使用一键 DD 脚本重装 Debian GNU/Linux 操作系统，确保安全性和社区审查。
-
重装系统时，配置 SSH 免密码登录、修改 SSH 默认端口、启用 BBR 提升网络性能。
-
安装基础软件包，如 ca-certificates、git、curl 等。
-
按照 Docker 官方文档安装 Docker，包括添加 GPG 密钥和配置源。
-
参考 Nginx 项目文档安装 Nginx，确保 GPG 密钥的导入和源的配置。
-
对 SSH 进行基本加固，禁止 Root 登录、禁用密码登录、启用公钥认证等。
-
使用 Fail2ban 保护服务器免受 SSH 爆破攻击，配置封禁规则。
-
安装并配置 UFW 防火墙，默认拒绝所有入站连接，允许出站连接。
-
配置 Cloudflare CDN 回源访问规则，确保 Cloudflare IP 段在 UFW 白名单中。
-
定期更新 Cloudflare IP 白名单，使用 Crontab 计划任务。
-
检查 Docker 容器端口暴露情况，确保安全性，避免将端口绑定到 0.0.0.0。
延伸解读
重装系统的安全性
使用一键 DD 脚本重装 Debian 系统时，选择经过社区审查的脚本非常重要。这不仅能确保系统的纯净性，还能降低潜在的安全风险。建议在使用前仔细阅读脚本说明，了解每个参数的作用，确保配置符合自己的需求。
SSH 安全配置的重要性
对 SSH 进行安全配置是保护服务器的关键步骤。禁用 Root 登录和密码认证，启用公钥认证，可以有效防止暴力破解攻击。此外，使用 Fail2ban 监控和封禁异常登录尝试，进一步增强了服务器的安全性。
防火墙配置的最佳实践
配置 UFW 防火墙时，默认拒绝所有入站连接是一个良好的安全策略。确保允许 SSH 端口的访问，以免被锁在外面。同时，定期更新 Cloudflare IP 白名单，确保 CDN 的正常访问，这对于使用 Cloudflare 的用户尤为重要。
Docker 安全性注意事项
在使用 Docker 时，需注意容器端口的暴露情况。避免将端口绑定到 0.0.0.0，以防止不必要的公网暴露。建议将端口绑定到 127.0.0.1，确保只有本地访问，降低安全风险。
延伸问答
如何重装新的 Debian 系统？
可以使用一键 DD 脚本重装 Debian 系统，确保安全性和社区审查。
如何配置 SSH 安全？
配置 SSH 时应禁止 Root 登录、禁用密码登录，并启用公钥认证。
UFW 防火墙的基本配置步骤是什么？
安装 UFW 后，默认拒绝所有入站连接，允许出站连接，并确保允许 SSH 端口。
如何安装 Docker？
参考 Docker 官方文档，添加 GPG 密钥和配置源后安装 Docker。
如何使用 Fail2ban 保护服务器？
安装 Fail2ban 后，配置 SSH 的保护规则，设置封禁时间和最大重试次数。
如何配置 Cloudflare CDN 的回源访问规则？
需要将 Cloudflare 的 IP 段添加到 UFW 白名单中，以允许回源访问。
