在使用香港VPS服务器时，由于其面向全球的网络接入和较低的延迟，它常被用于跨境电商、站群部署以及金融服务等场景。但这也使其更容易成为网络攻击的目标，如DDoS攻击、暴力破解或恶意软件感染。

一、基础安全设置

1. 修改默认SSH端口

• 问题：默认的SSH端口（22）容易遭受暴力破解攻击。
• 解决方案：
  • 编辑SSH配置文件：
    bash

    nano /etc/ssh/sshd_config
    

     

     
  • 修改以下行，将22改为一个非标准端口（如22022）：
     

    Port 22022
    

     

     
  • 重启SSH服务：
    bash

    systemctl restart sshd
    

     

     

2. 禁用Root用户直接登录

• 问题：Root用户权限高，直接暴露容易被暴力破解。
• 解决方案：
  • 编辑SSH配置文件：
    bash

    nano /etc/ssh/sshd_config
    

     

     
  • 找到以下配置并修改：
     

    PermitRootLogin no
    

     

     
  • 创建一个新用户并赋予sudo权限：
    bash

    adduser newuser
    usermod -aG sudo newuser
    

     

     
  • 使用新用户登录后，以sudo执行管理员命令。

3. 设置强密码与使用SSH密钥认证

• 强密码规则：
  • 长度至少12位，包含大小写字母、数字和特殊字符。
  • 避免使用常见单词或简单的数字组合。
• 启用SSH密钥认证：
  • 本地生成密钥：
    bash

    ssh-keygen -t rsa -b 4096
    

     

     
  • 将公钥上传到服务器：
    bash

    ssh-copy-id user@server_ip
    

     

     
  • 禁用密码登录：
    bash

    nano /etc/ssh/sshd_config
    

     

     
    修改如下：
     

    PasswordAuthentication no
    

     

     
  • 重启SSH服务：
    bash

    systemctl restart sshd
    

     

     

二、网络安全防护

1. 配置防火墙

• 使用UFW（Uncomplicated Firewall）：

  • 安装并启用UFW：
    bash

    apt install ufw
    ufw enable
    

     

     
  • 允许常用服务端口：
    bash

    ufw allow 22022/tcp   # SSH（根据修改的端口号）
    ufw allow 80/tcp      # HTTP
    ufw allow 443/tcp     # HTTPS
    

     

     
  • 查看防火墙状态：
    bash

    ufw status
    

     

     

• 使用iptables进行高级配置：

  • 限制某个IP的访问频率（防止暴力破解）：
    bash

    iptables -A INPUT -p tcp --dport 22022 -i eth0 -m state --state NEW -m recent --set
    iptables -A INPUT -p tcp --dport 22022 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 5 -j DROP
    

     

     

2. 安装Fail2Ban

• 功能：监控登录尝试，自动封禁恶意IP。
• 安装和配置：
  bash

  apt install fail2ban
  

   

   
  • 编辑配置文件：
    bash

    nano /etc/fail2ban/jail.local
    

     

     
  • 配置SSH防护：
    ini

    [sshd]
    enabled = true
    port = 22022
    maxretry = 5
    bantime = 3600
    

     

     
  • 启动Fail2Ban：
    bash

    systemctl enable fail2ban
    systemctl start fail2ban
    

     

     

3. 设置DDoS防护

• 启用DDoS防护服务：
  • 选择支持DDoS防护的香港VPS服务商（如阿里云、腾讯云、Cloudflare）。
  • 配置防护策略，启用流量清洗和黑白名单功能。
• 使用iptables限制连接数：
  • 防止单个IP发送过多连接：
    bash

    iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 100 -j DROP
    

     

     

三、系统与服务安全

1. 定期更新系统与软件

• 问题：旧版本的系统或软件容易被利用漏洞攻击。
• 解决方案：
  • 定期更新系统：
    bash

    apt update && apt upgrade -y
    

     

     
  • 配置自动更新：
    bash

    apt install unattended-upgrades
    dpkg-reconfigure --priority=low unattended-upgrades
    

     

     

2. 移除不必要的服务与端口

• 问题：未使用的服务和端口可能被攻击者利用。
• 解决方案：
  • 查看启动的服务：
    bash

    systemctl list-unit-files | grep enabled
    

     

     
  • 停止并禁用不必要的服务：
    bash

    systemctl disable <service-name>
    systemctl stop <service-name>
    

     

     
  • 检查开放的端口：
    bash

    netstat -tuln
    

     

     
  • 关闭未使用端口。

四、应用层安全

1. 安全配置Web服务器

• 防止HTTP攻击：
  • 安装并启用防火墙模块（如Nginx的ModSecurity）。
  • 限制请求速率：
    nginx

    http {
        limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
    }
    server {
        location / {
            limit_req zone=one burst=5;
        }
    }
    

     

     

2. 数据库安全

• 常见问题：数据库默认配置过于开放。
• 解决方案：
  • 禁止远程访问：
    编辑my.cnf文件，将bind-address设置为127.0.0.1：
    bash

    bind-address = 127.0.0.1
    

     

     
  • 设置强密码并移除匿名用户：
    bash

    mysql_secure_installation
    

     

     

3. 使用HTTPS加密

• 安装免费SSL证书（如Let's Encrypt）：
  • 对Nginx或Apache启用HTTPS：
    bash

    apt install certbot python3-certbot-nginx
    certbot --nginx
    

     

     

五、监控与日志管理

1. 实时监控系统状态

• 安装监控工具：
  • 使用htop或glances实时监控CPU、内存和网络流量：
    bash

    apt install htop glances
    

     

     

2. 配置日志分析工具

• 查看日志：
  • SSH登录日志：
    bash

    cat /var/log/auth.log
    

     

     
  • 系统日志：
    bash

    cat /var/log/syslog
    

     

     
• 自动分析工具：
  • 安装Logwatch：
    bash

    apt install logwatch
    logwatch --detail high --mailto your_email@example.com --range today
    

     

     

3. 设置报警系统

• 配置报警工具（如Zabbix、Nagios）监控异常流量、CPU使用率等，并向管理员发送通知。

六、备份与恢复

1. 定期备份数据

• 问题：硬件故障或攻击可能导致数据丢失。
• 解决方案：
  • 使用rsync定期备份：
    bash

    rsync -avz /var/www/ remote_server:/backup/
    

     

     
  • 配置自动化备份工具（如BorgBackup、Duplicity）。

2. 快速恢复策略

• 确保服务商支持快照功能。
• 定期创建服务器快照，在遭遇攻击或故障时快速恢复。

七、总结

通过以上多层次的安全防护措施，可以大幅提升香港VPS服务器的整体防御力。重点在于：

1. 基础保护：修改默认配置，减少常见入侵风险。
2. 网络防护：部署防火墙、Fail2Ban、DDoS防护。
3. 系统与服务优化：保持软件更新，移除不必要的服务。
4. 日志监控与备份：及时发现安全隐患并做好数据保护。

安全防护是一项持续性的任务，建议定期审查VPS服务器配置并根据新威胁调整策略，以保障业务的长期稳定运行。