Linux服务器初始化后的安全加固清单：优先措施与操作顺序-云途主机

Linux服务器初始化后的安全加固清单，第一步不是盲目关闭功能，而是先确保管理员能安全登录、关键服务可用，并且有故障恢复渠道。建议按“账户与远程入口—网络边界—系统更新—服务和权限—监控与备份”的顺序处理；每次改动后都验证结果，避免把自己锁在服务器之外。

一、先保护管理员账户和 SSH

创建个人管理账户，日常操作使用普通用户，需要管理权限时再通过 sudo 提权。不要多人共用 root 账户，也不要把私钥、密码写入脚本或工单。远程管理优先使用 SSH 密钥，并为私钥设置口令、妥善保管备份。

确认云平台控制台、串口或其他带外管理方式可用，再修改 SSH 配置。
将管理公钥加入目标账户的 ~/.ssh/authorized_keys，并检查目录权限：.ssh 通常设为 700，authorized_keys 通常设为 600。
先用新会话验证密钥登录成功，再考虑关闭 SSH 密码认证或 root 远程登录。若有自动化任务依赖密码登录，应先调整任务和密钥权限。
修改配置后运行 sshd -t 检查语法；确认无误，再用 systemctl reload ssh 或 systemctl reload sshd 重新加载，具体服务名视发行版而定。不要关闭当前会话，直到新会话验证通过。

SSH 端口改为非默认值只能减少部分自动化扫描，不能替代密钥认证和访问控制。若管理地址固定，可在防火墙中仅放行可信来源；管理地址会变化时，应评估 VPN 或云平台访问控制等方式。

防火墙的原则是默认拒绝不需要的入站连接，只放行实际使用的服务。操作前先确认 SSH 端口已允许，否则可能失去远程管理能力。Ubuntu 常见 UFW 工具，Rocky Linux、AlmaLinux 等系统常见 firewalld；不同系统也可能直接使用 nftables。

初始化镜像可能并非最新状态。先安装发行版提供的安全更新，再安排后续更新策略。Debian、Ubuntu 通常使用 apt；Rocky Linux、AlmaLinux 通常使用 dnf。执行更新前查看软件源和待升级内容；生产主机应先安排维护窗口，并确认重启要求。

随后检查监听端口和开机服务，例如使用 ss -tulpen 查看监听情况、systemctl --type=service --state=running 查看运行服务。对不认识的服务先确认用途和依赖，不要直接批量停止。确实不需要的服务再停止并禁用，减少暴露面，也降低后续维护成本。

应用账户不应拥有不必要的 sudo 权限，应用进程也不宜以 root 运行。检查 SSH 私钥、配置文件和备份目录的访问权限；包含凭据的文件应限制为必要账户可读，日志目录则要保证服务能写入、普通用户不能随意篡改。

SELinux 与 AppArmor 都能限制进程行为，但适用环境不同：Rocky Linux 等系统常见 SELinux，Ubuntu 常见 AppArmor。优先保留发行版默认启用状态，遇到访问拒绝时先查审计日志并调整策略，不要为了快速消除报错就长期关闭安全机制。

至少关注登录失败、权限变更、磁盘空间、服务退出和安全更新状态。可先检查系统日志与认证日志是否正常写入，并确认日志轮转和保留策略，避免日志长期增长占满磁盘。日志应限制读取权限；若需集中留存，可将其转发到独立的日志系统。

备份要覆盖配置文件、业务数据和恢复所需的密钥或说明，并与服务器本机分开放置。定期抽样恢复比单纯确认“备份任务成功”更有用。完成后复核本份Linux服务器初始化后的安全加固清单：外部只暴露必要端口，管理员可用密钥登录，更新和备份有明确负责人，且有可验证的恢复路径。

不应把改端口当作首要防护。先配置密钥认证、账户权限和防火墙来源限制，再根据运维需要决定是否改端口。

可以作为加固目标，但应先确认普通管理员账户能通过 SSH 登录并使用 sudo，同时保留可用的控制台或恢复方式。

在密钥登录已验证、自动化任务已适配且有恢复渠道后，通常可以关闭。若仍有合法密码登录需求，应优先限制来源并使用强密码及登录审计。

没有适用于所有服务器的固定周期。可在系统更新、服务变更和人员权限调整后复核；长期运行的主机还应按维护计划定期检查规则、日志和备份恢复情况。