腾讯云服务器安全加固7步法——花30分钟让你的服务器固若金汤
每一次看到客户因为服务器被黑而焦头烂额，我都忍不住想说一句：其实大多数入侵是完全可以避免的。
攻击者不是黑客电影里那种天才，他们大多数时候只是在用自动化脚本全网扫描，寻找那些“安全配置没改”的服务器。你的服务器只要比旁边的那台多一点点防护，他们就会绕道走。
今天这篇文章，我整合了一套专门针对腾讯云服务器（包括轻量应用服务器和CVM）的安全加固清单。七个步骤，每一步都写得明明白白，不管你用的是宝塔面板还是命令行，都能照做。
第一步：改掉SSH默认端口和弱密码
绝大多数自动化攻击的第一步都是扫描22端口，然后用常见密码字典暴力破解root账户。所以你要做的第一件事就是：让他们找不到门。
操作：
编辑SSH配置文件：sudo nano /etc/ssh/sshd_config
找到#Port 22，去掉注释，把22改成一个高位端口，比如22122（范围1024-65535）
同时确保PermitRootLogin yes改为PermitRootLogin without-password（禁止密码登录root，改用密钥），或者至少设置一个极其复杂的root密码
保存后重启SSH服务：sudo systemctl restart sshd
如果使用宝塔面板，面板登录端口也要改。在面板设置里把默认8888端口改成其他。
第二步：防火墙最小化原则
腾讯云轻量服务器控制台内置了防火墙功能，CVM有安全组。这是你第一道防线。
原则：只开放业务必需的端口，其余全部拒绝。
建议开放的端口清单：
80（HTTP）、443（HTTPS）——网站必需
你修改后的SSH端口（如22122）
你修改后的面板端口（如宝塔面板）
如果需要FTP，开放被动端口范围（如39000-40000）
强烈不建议开放的端口：3306（MySQL）、6379（Redis）、27017（MongoDB）等数据库端口。这些服务应只监听内网或127.0.0.1，绝不对公网开放。
第三步：安装配置Fail2ban，自动封禁暴力破解
Fail2ban是一个入侵防御工具，它会监控日志文件，发现有多次失败登录尝试的IP，就自动添加到防火墙黑名单封禁一段时间。
安装（以Ubuntu为例）：
text
复制下载
sudo apt updatesudo apt install fail2ban -y
安装后创建本地配置：
text
复制下载
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.localsudo nano /etc/fail2ban/jail.local
找到[sshd]部分，设置为：
text
复制下载
enabled = trueport = 22122 # 你改过的SSH端口maxretry = 3bantime = 3600
重启Fail2ban：sudo systemctl restart fail2ban
这样，任何IP在短时间内SSH登录失败3次，就会被封禁1小时。不要小看这个设置，它能拦截90%以上的暴力破解。
第四步：保持系统和软件更新
很多入侵是通过已知漏洞实现的。腾讯云的镜像在创建那一刻是新的，但一两周后就会有新的安全补丁。
定期执行系统更新：
text
复制下载
sudo apt update && sudo apt upgrade -y # Ubuntu/Debiansudo yum update -y # CentOS/RHEL
如果用宝塔面板，也记得在面板里更新Nginx、MySQL、PHP等核心软件。推荐在面板设置里开启“自动更新”。
第五步：设置自动备份
安全加固的最终防线是“就算被黑了，我也能快速恢复”。备份不是可选项，是必需品。
轻量服务器备份策略：
每天自动备份网站文件和数据库到腾讯云COS对象存储（非常便宜，每月几毛钱）
利用宝塔面板的计划任务，每天凌晨执行数据库备份并上传到COS
腾讯云轻量服务器支持创建系统盘快照，建议每周自动创建一次快照（保留最近3份），万一系统坏了可以快速回滚
成本算一笔账：50GB快照存储一个月大约几块钱，比起数据丢失的损失完全可以忽略不计。
第六步：文件权限和网站安全加固
如果你的服务器跑WordPress或其他CMS，这步尤为重要：
所有目录权限设置为755，文件设置为644
wp-config.php等敏感文件设置为600
移除WordPress的版本号显示、禁止目录浏览
安装安全插件如Wordfence，开启防火墙和恶意软件扫描
还有一个容易被忽视的点：不要用admin作为管理员用户名，新建一个强用户名并删除默认的admin账户。
第七步：开启操作审计和告警
腾讯云提供免费的云监控服务，你可以设置告警规则：
CPU使用率超过90%持续5分钟（可能是挖矿程序）
网络出带宽异常增高（可能被DDoS或成为攻击源）
磁盘使用率超过85%（提前预防磁盘爆满导致服务停止）
这些告警可以通过短信、邮件、微信接收，让你第一时间知道服务器异常。
轻量服务器的特殊说明
轻量应用服务器不能自定义安全组（使用的是控制台内置防火墙），但上述SSH端口修改、Fail2ban、备份等所有步骤完全适用。轻量服务器的防火墙配置入口在控制台实例详情页的“防火墙”标签页，操作直观简单。
最后一句实在话
安全加固不是一蹴而就的，但上面这七步花不了你30分钟，却能让你的服务器安全等级从“裸奔”提升到“普通人攻不破”的水平。黑客找的是最容易得手的目标，你的目标不是成为安全专家，而是不要成为“最容易的那个”。
如果需要更深入咨询了解可以联系全球代理上TG:@jinniuge 他们在云平台领域有更专业的知识和建议，他们有国际阿里云，国际腾讯云，国际华为云，aws亚马逊，谷歌云一级代理的渠道，客服1V1服务，支持免实名、免备案、免绑卡。开通即享专属VIP优惠、充值秒到账、官网下单享双重售后支持。不懂找他们就对了。