云服务器安全加固：从密码、端口到防火墙的实践-UserStory

摘要： 云服务器安全加固的核心动作：改强密码并尽量用密钥登录、改默认 SSH 端口、安全组只放行必要端口且限制 SSH 来源 IP、及时打补丁、定期备份。本文给出一套可照做的加固清单，帮你在云服务器 CVM 上把常见入侵入口堵上。

云服务器被入侵，九成是因为「门没关好」——弱密码、SSH 端口全网开放、安全组放行过宽、系统不打补丁。这些入口堵上，绝大多数自动化攻击就进不来。安全加固不需要多高深，关键是把几个高频入口逐个收紧。这篇给你一份可以逐项执行的加固清单，按风险优先级排好。

为什么要主动加固

很多人以为「我这小服务器没人盯」，这是误解。互联网上有大量自动化扫描程序，全天候扫描公网 IP、尝试弱密码登录、探测开放端口。你的服务器一上公网，几分钟内就会被扫到。被入侵的后果：挖矿吃光 CPU、数据被盗被删、服务器成为攻击跳板。

加固的逻辑很简单：把攻击者最常用的入口一个个关掉。下面按优先级排。

第一优先级：登录凭证

登录是攻击者的头号目标，这块最该先加固。

用强密码，或改用密钥登录。弱密码（admin、123456、root 等）是被爆破的头号原因。密码要足够复杂：大小写字母 + 数字 + 特殊符号、长度够长。更安全的做法是改用 SSH 密钥登录——用密钥对代替密码，几乎无法被暴力破解，配好后可以禁用密码登录。

不要用 root 直接登录。日常用普通用户登录、需要时再提权（sudo），即使普通用户泄露，影响也比 root 小。

第二优先级：SSH 和端口

SSH 端口（默认 22）是被扫描和爆破最频繁的端口。两个加固动作：

改默认 SSH 端口。把 22 改成一个不常用的高位端口（如 2222、改配置文件 /etc/ssh/sshd_config 的 Port），能挡掉大量只扫描 22 端口的自动化攻击。改完记得在安全组放行新端口、关掉旧端口。

安全组限制 SSH 来源 IP。这是最有效的一招：在 CVM 安全组里，把 SSH 端口的来源从 0.0.0.0/0（所有 IP）改成只允许你自己的办公/家庭 IP。这样即使密码泄露，攻击者的 IP 也连不进来。如果你的 IP 不固定，可以用跳板机或临时放行。

第三优先级：安全组最小化

安全组是 CVM 的虚拟防火墙，加固原则是最小化放行——只开业务真正需要的端口，其余一律不开。

最危险的错误是把数据库端口对公网开放。数据库（MySQL 3306、Redis 6379 等）端口绝不该放行 0.0.0.0/0——这等于把数据库暴露给全网爆破。数据库只该让应用服务器通过内网访问。

第四优先级：系统和应用更新

及时打补丁。操作系统和软件的已知漏洞是入侵的常见入口。定期更新系统补丁（apt update && apt upgrade 或 yum update），尤其是爆出高危漏洞时要尽快打。

更新应用和依赖。WordPress、Nginx、运行时（Node/Python）及其依赖都要保持更新，老版本的已知漏洞容易被利用。

第五优先级：备份和监控

加固不是万无一失，要给自己留后路。

定期备份。给系统盘建自定义镜像或快照、给数据盘打快照，出事能快速恢复。重要数据再额外备份到对象存储 COS。

开监控告警。在 CVM 控制台设置 CPU、登录等异常告警。CPU 突然跑满（可能被挖矿）、异常登录，能第一时间发现。

善用免费防护。CVM 提供免费的主机安全基础防护和基础 DDoS 防护，确认已开启，它能挡掉一部分基础攻击。

加固清单速查

按这个清单逐项打勾：

完成本教程还需要什么

加固做完后，持续维护：

• 定期复查：每隔一段时间检查安全组规则、登录记录、系统更新状态。
• 出事能恢复：确保备份策略有效，定期验证快照能否恢复。
• 深度防护：对安全要求高的业务，可考虑 WAF、主机安全专业版等进一步防护。

想了解云服务器 CVM 的安全防护与配置能力，可前往产品介绍页了解：https://cloud.tencent.com/product/cvm ；当前服务器有特惠，可在腾讯云双十一活动页查看：https://cloud.tencent.com/act/pro/double11-202611