https://blog.cbzmx.com/categories/vps/Recent content in Vps on IMX-博客Hugozh-CNWed, 21 Oct 2026 15:58:56 +0800https://blog.cbzmx.com/posts/fu-wu-qi-ji-chu-an-quan-pei-zhi/Wed, 21 Oct 2026 15:58:56 +0800https://blog.cbzmx.com/posts/fu-wu-qi-ji-chu-an-quan-pei-zhi/<h2 id="前言">前言</h2> <p>新买的 VPS 能通过 SSH 登录，并不代表基础安全已经配置完毕。本文以 <strong>Debian 13</strong> 为例，从本机生成 SSH 密钥开始，完成普通管理账号、SSH 登录限制、防火墙和自动安全更新的配置。</p> <p>本机可以使用 <strong>macOS 或 Windows</strong>，SSH 客户端不限品牌。文中的命令行示例使用标准 OpenSSH；使用图形客户端时，按对应字段填写即可。</p> <p>本文适合刚安装系统、尚未部署业务的新服务器。已经运行网站、容器、VPN 或其他服务的机器，需要先核对现有账号、端口和防火墙规则，再决定如何合并配置。</p> <h2 id="一先看懂操作位置和自定义参数">一、先看懂操作位置和自定义参数</h2> <h3 id="1-哪些命令在本机执行哪些在服务器执行">1. 哪些命令在本机执行，哪些在服务器执行</h3> <p>本文使用三种标记：</p> <table> <thead> <tr> <th>标记</th> <th>执行位置</th> <th>使用的环境</th> </tr> </thead> <tbody> <tr> <td><strong>本机 · macOS</strong></td> <td>自己的 Mac</td> <td>终端中的 Bash 或 Zsh</td> </tr> <tr> <td><strong>本机 · Windows</strong></td> <td>自己的 Windows 电脑</td> <td>PowerShell，已安装 OpenSSH 客户端</td> </tr> <tr> <td><strong>服务器</strong></td> <td>已连接 VPS 的 SSH 窗口</td> <td>Debian 的 Bash</td> </tr> </tbody> </table> <p>Mac 和 Windows 的本机步骤是两条分支，选择自己正在使用的一条。服务器步骤相同。</p> <p>建议保留一个窗口用于本机命令，另一个窗口用于连接服务器。执行 <code>ssh</code> 后，这个窗口就进入了服务器；不要在里面误执行标记为“本机”的命令。新开本机终端时，也要重新设置该终端需要使用的连接和密钥变量。</p> <p><strong>不要把整篇文章一次性粘贴执行。</strong> 尤其是安装软件、创建用户、输入密码等交互步骤，应逐步执行，核对输出后再继续。遇到报错，先解决当前问题。</p> <h3 id="2-可以自定义的内容">2. 可以自定义的内容</h3> <table> <thead> <tr> <th>参数或项目</th> <th>本文示例</th> <th>自定义说明</th> </tr> </thead> <tbody> <tr> <td>服务器地址</td> <td><code>203.0.113.10</code></td> <td>替换为自己的公网 IP 或域名。这是文档示例地址，不能直接用于连接</td> </tr> <tr> <td>初始登录用户</td> <td><code>root</code></td> <td>如果商家提供的是可使用 sudo 的普通账号，填写那个账号</td> </tr> <tr> <td>新管理用户名</td> <td><code>myadmin</code></td> <td>可以自定义，例如 <code>imx</code>、<code>opsuser</code>。建议以小写英文字母开头，使用字母、数字、下划线或连字符；不要用 <code>root</code> 或已有系统账号</td> </tr> <tr> <td>当前 SSH 端口</td> <td><code>22</code></td> <td>必须填写服务器<strong>实际正在监听</strong>的端口；设置变量不会修改服务器的 SSH 监听端口</td> </tr> <tr> <td>本机私钥文件名</td> <td><code>vps_ed25519</code></td> <td>可以改名，也可以使用 <code>.pem</code> 后缀；后缀不决定文件内容格式</td> </tr> <tr> <td>密钥备注</td> <td><code>my-laptop</code></td> <td>可以自定义，用来区分设备或用途；建议使用简短英文，不要填写密码</td> </tr> <tr> <td>密钥类型</td> <td><code>ed25519</code></td> <td>由 <code>-t</code> 指定，适用于本文环境；其他类型需要同时核对客户端和服务器兼容性，不靠修改文件后缀转换</td> </tr> <tr> <td>私钥密码派生轮数</td> <td><code>64</code></td> <td>由 <code>-a</code> 指定，可调整；使用 Passphrase 时影响私钥保护的派生开销，数值越大，解锁通常越慢</td> </tr> <tr> <td>上传到服务器的公钥文件名</td> <td><code>client-login.pub</code></td> <td>可以改名，但本机上传和服务器读取时必须一致</td> </tr> <tr> <td>密钥保护密码</td> <td>创建密钥时输入</td> <td>自行设置，用于保护本机私钥</td> </tr> <tr> <td>新用户密码</td> <td>创建账号时输入</td> <td>自行设置，后续 sudo 提权时使用</td> </tr> <tr> <td>自动回滚等待时间</td> <td><code>10m</code></td> <td>可以改成 <code>15m</code> 等，给自己留出重新连接和验证的时间</td> </tr> <tr> <td>回滚任务名称</td> <td><code>ufw-safety-rollback</code>、<code>ssh-safety-rollback</code></td> <td>可以改名，但创建、检查和停止任务时必须使用同一个名称</td> </tr> <tr> <td>业务端口与协议</td> <td>按实际服务填写</td> <td>部署服务后再放行，注意区分 TCP 和 UDP</td> </tr> </tbody> </table> <p><code>/etc/ssh/sshd_config</code>、<code>authorized_keys</code> 等是本教程使用的标准配置路径或文件名，不是随意替换的占位符。如果镜像修改了默认路径，应先核对实际配置。</p>