在当今数字化的时代，VPS（Virtual Private Server，虚拟专用服务器）因其灵活性、可扩展性和相对较低的成本，成为了众多个人和企业搭建网站、运行应用程序等的首选，随着网络攻击手段的日益多样化和复杂化，VPS 的安全问题也变得愈发重要，一个安全设置不完善的 VPS 就如同一个门户大开的房子，随时可能遭受黑客的入侵，导致数据泄露、服务中断等严重后果，对 VPS 进行全面且有效的安全设置,是保障其稳定运行和数据安全的关键。
VPS 安全的重要性
（一）数据保护
对于个人用户而言，VPS 可能存储着重要的个人文件、照片等数据；对于企业用户来说，VPS 可能承载着商业机密、客户信息等核心数据，一旦 VPS 被攻击，这些数据就可能被窃取或篡改,给用户带来无法估量的损失。
（二）服务稳定
VPS 遭受 DDoS 攻击、暴力破解等，可能会导致服务器性能下降甚至瘫痪，使得网站无法正常访问，应用程序无法正常运行,从而影响用户体验和企业的业务开展。
（三）合规要求
在一些行业中，如金融、医疗等，对于数据安全和隐私保护有着严格的法规要求，VPS 安全设置不符合相关规定,企业可能会面临法律风险。
VPS 基础安全设置
（一）更新系统和软件
及时更新 VPS 的操作系统和各类软件是保障安全的基础，操作系统和软件的开发者会不断修复已知的安全漏洞，通过定期更新，可以避免因旧版本软件的漏洞而被黑客利用。 以 Linux 系统为例,可以使用以下命令进行系统更新：
sudo apt update sudo apt upgrade
对于一些应用程序，如 Apache、Nginx 等，也需要及时关注其官方网站的更新信息,并按照官方指导进行更新。
（二）更换默认 SSH 端口
SSH（Secure Shell）是远程管理 VPS 的常用协议，默认端口为 22，黑客通常会对这个端口进行扫描和攻击，因此更换默认 SSH 端口可以有效降低被攻击的风险。
要更换 SSH 端口，需要编辑 SSH 配置文件 /etc/ssh/sshd_config，找到 Port 22 这一行，将 22 改为一个自定义的端口号，如 2222，修改完成后，保存文件并重启 SSH 服务：
sudo systemctl restart sshd
在防火墙中开放新的 SSH 端口。
（三）使用强密码
为 VPS 的所有账户设置强密码是非常重要的，强密码应该包含大写字母、小写字母、数字和特殊字符，长度至少为 12 位，避免使用常见的单词、生日等容易被猜到的密码。 如果可能的话,可以使用密码管理器来生成和管理密码。
（四）禁用 Root 直接登录
Root 用户拥有最高权限，直接使用 Root 用户登录 VPS 存在较大的安全风险，可以创建一个普通用户，并为其添加 sudo 权限，通过普通用户登录后使用 sudo 命令来执行需要 Root 权限的操作。 创建新用户的命令如下：
sudo adduser newuser
为新用户添加 sudo 权限：
sudo usermod -aG sudo newuser
然后编辑 SSH 配置文件 /etc/ssh/sshd_config，将 PermitRootLogin yes 改为 PermitRootLogin no，保存文件并重启 SSH 服务。
防火墙设置
（一）选择合适的防火墙
常见的 Linux 防火墙有 iptables 和 UFW（Uncomplicated Firewall），对于初学者来说，UFW 更加简单易用。 安装 UFW：
sudo apt install ufw
（二）配置防火墙规则
默认情况下，应该关闭所有不必要的端口，只开放必要的服务端口，如果 VPS 用于搭建网站，需要开放 80（HTTP）和 443（HTTPS）端口；如果使用自定义的 SSH 端口，也需要开放该端口。 允许 SSH 端口（假设自定义端口为 2222）：
sudo ufw allow 2222
允许 HTTP 和 HTTPS 端口：
sudo ufw allow 80 sudo ufw allow 443
启用防火墙：
sudo ufw enable
查看防火墙状态：
sudo ufw status
SSH 密钥认证
（一）生成 SSH 密钥对
SSH 密钥认证比密码认证更加安全，可以在本地计算机上使用 ssh-keygen 命令生成密钥对：
ssh-keygen -t rsa -b 4096
按照提示输入密钥保存的路径和密码（可以不设置密码），生成的密钥对包括一个私钥（通常为 ~/.ssh/id_rsa）和一个公钥（通常为 ~/.ssh/id_rsa.pub）。
（二）将公钥上传到 VPS
将本地生成的公钥内容复制到 VPS 的 ~/.ssh/authorized_keys 文件中，可以使用 ssh-copy-id 命令来完成这个操作：
ssh-copy-id -i ~/.ssh/id_rsa.pub newuser@your_vps_ip -p 2222
newuser 是 VPS 上的用户名，your_vps_ip 是 VPS 的 IP 地址，2222 是自定义的 SSH 端口。
（三）禁用密码认证
为了进一步提高安全性，可以在 SSH 配置文件 /etc/ssh/sshd_config 中将 PasswordAuthentication yes 改为 PasswordAuthentication no，保存文件并重启 SSH 服务。
入侵检测系统（IDS）
（一）安装和配置 Fail2Ban
Fail2Ban 是一个开源的入侵检测系统，它可以监控系统日志，当发现某个 IP 地址多次尝试登录失败时，会自动将该 IP 地址加入黑名单，禁止其访问 VPS。 安装 Fail2Ban：
sudo apt install fail2ban
复制默认配置文件：
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
编辑 /etc/fail2ban/jail.local 文件，配置需要监控的服务和规则，对于 SSH 服务，可以设置在 10 分钟内尝试登录失败 5 次就将该 IP 地址封禁 1 小时：
[sshd] enabled = true port = 2222 filter = sshd logpath = /var/log/auth.log maxretry = 5 findtime = 600 bantime = 3600
重启 Fail2Ban 服务：
sudo systemctl restart fail2ban
（二）使用 Snort
Snort 是一个强大的开源入侵检测和预防系统，它可以实时监控网络流量，检测并阻止各种网络攻击。 安装 Snort：
sudo apt install snort
配置 Snort 需要一定的技术知识，需要编辑 /etc/snort/snort.conf 文件,设置规则集和监控的网络接口等。
数据备份
（一）定期备份数据
定期对 VPS 上的重要数据进行备份是应对数据丢失风险的重要措施，可以使用 rsync 等工具将数据备份到本地计算机或其他远程存储设备上。
将 VPS 上的 /var/www/html 目录备份到本地的 ~/backup 目录：
rsync -avz -e "ssh -p 2222" newuser@your_vps_ip:/var/www/html ~/backup
（二）异地备份
为了防止因自然灾害、硬件故障等原因导致备份数据也丢失，建议进行异地备份，可以选择使用云存储服务，如 Amazon S3、Google Cloud Storage 等。
安全审计和监控
（一）查看系统日志
定期查看 VPS 的系统日志，如 /var/log/auth.log（记录用户登录信息）、/var/log/syslog（记录系统的各种事件）等，可以及时发现异常登录和系统错误。
使用 grep 命令查找失败的 SSH 登录记录：
grep "Failed password" /var/log/auth.log
（二）使用监控工具
可以使用一些监控工具来实时监控 VPS 的性能和安全状况，如 Nagios、Zabbix 等，这些工具可以监控 CPU 使用率、内存使用率、网络流量等指标,当指标超过设定的阈值时会发出警报。
VPS 的安全设置是一个系统工程，需要从多个方面进行综合考虑和实施，通过更新系统和软件、更换默认 SSH 端口、使用强密码、设置防火墙、使用 SSH 密钥认证、安装入侵检测系统、进行数据备份以及安全审计和监控等措施，可以大大提高 VPS 的安全性，保护用户的数据和服务免受网络攻击的威胁，随着网络安全形势的不断变化，用户还需要持续关注安全动态，及时调整和完善 VPS 的安全设置，才能确保 VPS 在复杂的网络环境中稳定、安全地运行。
