你的Debian服务器上线了吗？别急着上传网站代码！先看看这份"站较长可靠加固指南"吧。就像家里装了门窗，但没锁良好的话，较小偷随时有可能进来一样，服务器默认配置虽然平稳， 摆烂。 但远远不够可靠。本文将以最简洁、 最直接的方式告诉你：作为一名网站管理员，应当怎么做才能让你的Debian服务器变成"铜墙铁壁"。

一、账号与权限控制

1. 不要用root登录！

记住这条金科玉律：千万不要直接采用root账号登录服务器！就像银行卡密码绝对不能写在卡背面一样存在风险因素。为哪些？这是因为root拥有最较高权限，如果密码泄露或被猜中，黑客能够为所欲为。

adduser adminuser

按照提示设置密码。然后给当前这个用户加上sudo权限：，看好你哦！

usermod -aG sudo adminuser，闹乌龙。

2. SSH密钥登录比密码可靠更多了

SSH密钥登录比输入密码要可靠得更多。就像智能锁比传统方式钥匙更不容简单被撬开一样。生成密钥很简洁：，泰酷辣！

ssh-keygen -t ed25519 -C ""

然后把公钥复制到服务器： ssh-copy-id -p 我CPU干烧了。 2222 adminuser@your_server_ip

3. 关闭SSH密码登录和root登录

放心去做... 编辑SSH配置文件： cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak vim /etc/ssh/sshd_config

找到并修改以下内容： PermitRootLogin no PasswordAuntication no PubkeyAuntication yes Port 2222 #改个较高端口避免扫描 AllowUsers adminuser #只允许adminuser登录，当冤大头了。

沉重启SSH服务： systemctl restart sshd.service

4. 给崭新建用户分配合适权限

对于网站运行用户，只给必不可更少目录读写权限即可。不要随便777！比如WordPress安装目录能够这样设置： chown -R deploy:deploy /var/www/html chown -R www-data:www-data /var/www/html/wp-content/uploads chmod 660 /var/www/html/wp-config.php find /var/www/html -type d -exec chmod 750 {} \; find /var/www/html -type f -exec chmod 640 {} \; chmod g+s /var/www/html/wp-content 二、防火墙配置 1. 安装并启用UFW apt install ufw ufw default deny incoming #默认禁止全部入站连接 ufw default allow outgoing #允许全部出站连接 #放行必不可更少端口 ufw allow from your_ip to any port ssh_protocal tcp #只允许特定IP访问SSH ufw allow http/tcp #HTTP端口80 ufw allow https/tcp #HTTPS端口443 #开启UFW ufw enable #查看状态 ufw status verbose #如果需要放行数据库等其他端口也能够在这里添加 #比如MySQL内部访问就需要放行： # ufw allow mysql/tcp from internal_network_mask to any port mysql_protocal proto tcp #禁止ICMP申请以降较低DDoS风险因素： # ufw deny icmp echo-request 注意事项： 1. 在修改完防火墙规则前别断开当前SSH连接！

正宗。 它只能过滤流量， 对于应用层袭击毫无协助。 所以还需要结合其他措施才能真实正保障可靠。

- 防火墙只是基础防护措施之一！ - 不要盲目信赖自动化脚本生成的规则！ - 每隔几个月检查一次规则有没有还有效！ 警告： 别轻巧简单在生产周边环境下跑类似以下命令： ufw reset 或 ufw disable ——这会关闭防火墙并清除全部规则！ 心情复杂。 除非确定了解这么操作不会引起问题！ 最后再来看强较大调一点： 防火墙不是万能药！

我傻了。 否则有可能把自己锁在外面。 提议先另开一个终端测试有没有能正常连接再关闭陈旧连接。 题外话：有些VPS商会额外开通紧急后台管理， 比如阿里云有ECS控制台可通过浏览器临时进入系统， 需要时能够通过这种方式恢复访问。 对于一些特殊场景，还需要额外放行UDP协议： ufw allow proto udp from your_ip to any port game_port_range 注意事项： - 调整完规则后一定要测试！