自托管服务器的安全，很多人以为"装个防火墙就安全了"，但真实情况是：安全不是某一个工具，而是一条贯穿"系统→服务→数据"的基线。真正的威胁往往来自"默认配置"：root 密码弱、SSH 开着密码登录、一堆用不到的服务开着端口、内核未更新、日志没人看。系统安全基线（Security Baseline）就是"把你该做的最小安全动作清单化、常态化"：加固 SSH、最小化暴露面、更新与审计、配合工具做纵深防御。这篇讲清基线解决什么、SSH 与账户怎么加固、端口与内核怎么收、审计与自动化怎么做，以及常见坑与边界。
一、安全基线解决什么：把"我该做的安全动作"从随机变成清单化
"安全"的问题不在于没有工具，而在于没有"必做清单"：今天想起改个 SSH，明天想起关个端口，漏掉的一大堆。基线（baseline）就是把"一台新服务器该做的安全动作"固化成有序清单——加固入口（SSH/密码）、最小化暴露（关闭无用服务与端口）、保持更新（系统与内核补丁）、做好审计（日志与入侵检测）。它解决的不是"一次绝对安全"，而是"基础安全不靠运气"：每个动作都清楚为什么做、怎么做、怎么验证，且能周期性复查。纵深防御里，基线是"第一道和第二道"的常设内容。
它和具体工具的分工：防火墙（ufw/nftables）解决"哪些口能进"；基线解决"入口本身硬不硬、账户口令牢不牢、补丁跟没跟上、有没有人盯着"——工具是点，基线是把点连成面的清单。安全加固不是装完一个东西就完事，而是"清单化 + 常态化复查"。
二、SSH 与账户加固：密钥登录、禁用 root、Fail2ban
SSH 是服务器最常被爆破的入口，基线第一步就是加固它。三件套：一是"只用密钥登录"——生成 SSH 密钥、把公钥放进 authorized_keys，关闭密码登录（PasswordAuthentication no）；二是"禁用 root 直登"——PermitRootLogin no，日常用普通用户 + sudo；三是"防爆破"——fail2ban 监控失败登录，多次失败临时封 IP（前面聊过 CrowdSec，同类思路）。账户方面：删除无用用户、给 sudo 配最小权限、强密码策略、关掉不用的默认账号。
# /etc/ssh/sshd_config 关键加固项
PermitRootLogin no # 禁止 root 直登
PasswordAuthentication no # 只允许密钥登录
PubkeyAuthentication yes
MaxAuthTries 3 # 限制尝试次数
AllowUsers 你的用户名 # 白名单：只允许指定用户登录
# 生成密钥并把公钥放到位（在本地执行，别在服务器上生成私钥）
ssh-keygen -t ed25519 -a 64 # 本地生成
ssh-copy-id 你的用户名@服务器IP # 把公钥装到服务器
# 全部改完务必新开一个终端验证能登录，再重启 sshd（别把自己锁在外面）
SSH 加固最容易翻车的就一件事：改完直接断了现有会话。铁律是"先验证密钥登录能进，再重启 sshd；重启前开着现有连接"。另外，Fail2ban/CrowdSec 只挡暴力，挡不了"拿到有效凭据"——所以密钥 + 禁 root + 强口令是更根本的那层。
三、最小化暴露面：关无用服务、防火墙白名单、内核更新
一台服务器上每开一个端口，就多一个被攻击的面。最小化暴露面的三步：一是"关"——停掉不用/默认开的服务（如没用的 FTP、telnet、CUPS、自动发现协议），用 `ss -tlnp` 看当前监听，逐项确认"这是谁、要不要对外"；二是"堵"——防火墙（ufw/nftables）默认拒绝入站，只放行必要端口（SSH 限来源 IP、HTTP/S、管理端口限内网）；三是"更"——系统与内核补丁持续更新（apt upgrade / unattended-upgrades 配安全更新），因为很多入侵利用的是已知漏洞，更新是最高性价比的防线。
# 查看当前监听端口，逐项确认归属
ss -tlnp
# ufw 最小化策略：默认拒绝入站，只放行必要的
ufw default deny incoming
ufw default allow outgoing
ufw allow ssh # 或：ufw allow from 你的IP to any port 22
ufw allow 80,443/tcp
ufw enable
# 安全更新（Ubuntu/Debian）
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades # 启用自动安全更新
这步的坑：防火墙"默认拒绝"配错会把自己挡在门外（SSH 没放行就被锁）；关服务前先确认"这个服务真的没用"；自动更新要设"只更新安全补丁 + 定期重启策略"，避免自动更新把服务搞挂。最小化暴露是"少一个口就少一分风险"的朴素逻辑，但它要建立在"你知道自己开了什么"之上。
四、审计与自动化：日志、入侵检测与定期基线复查
安全基线的另一半是"看得见 + 能复查"：日志与审计（auth.log 的登录失败、系统日志、以及前面的 Loki/日志管理把它们收起来）、入侵检测（Fail2ban/CrowdSec 封禁、AIDE 之类文件完整性检查、入侵特征监控）、以及"基线复查"——把上面的加固项做成脚本/文档，定期（每月/每季度）重新跑一遍，确认"没有新洞、没有回退"。自托管者最现实的自动化：用脚本把基线固化成"一键检查"，配合 cron + 告警，让"有没有被爆破、补丁有没有跟上、有没有新开的端口"可被持续看见。
# 一个"基线自检"脚本的朴素思路（定期跑 + 告警）
# - grep 检查 sshd_config 关键项（PasswordAuthentication no 等）
# - ss -tlnp 对比"允许的端口清单"，多出来的报警
# - journalctl 看最近登录失败次数是否异常
# - 检查是否有未安装的安全更新（apt list --upgradable | grep security）
# 配合 cron 每日跑 + Webhook 告警，把"安全状态"从"抽查"变成"常态可见"
审计的坑是"收集了没人看"：日志堆在那里、Fail2ban 封禁了没人复盘，等于白做——配告警、定期扫一眼"被封的 IP 来源/登录失败趋势"，把审计数据变成"行动依据"而不是"存放数据"。基线复查要"有清单、有验证、有结果记录"，别变成"走过场"。
五、常见坑与边界：别锁自己、别只堵不修、别当绝对安全
安全基线四个坑要尤其注意。一是"把自己锁在外面"：SSH 加固、防火墙收紧都要"新会话验证 + 保留逃生通道（如带外/控制台）"后再生效，配错了也能救。二是"只堵不修"：防火墙挡了口，但系统有已知漏洞不打补丁、服务以 root 跑、弱口令没换——堵口防不了已经进来的路，加固要"入口、补丁、运行权限、审计"一起做。三是"把基线当终点"：基线是"起点线"不是"终点线"，新服务上线要回归检查（新端口/新依赖），隔段时间要复查，别装了就不管。四是"别以为基线=绝对安全"：基线挡的是"可预见的常规攻击"，高级威胁（0-day、内部、社工）要配合纵深防御（网络隔离、最小权限、入侵检测、备份）才有意义。
# 加固后自测清单（快速验证是否生效）
ssh -v 你的用户名@服务器 # 确认密钥登录成功、密码被拒
sudo ufw status verbose # 确认默认拒绝 + 只放必要端口
ss -tlnp # 再次确认对外监听只剩该有的
sudo fail2ban-client status sshd # 确认防爆破在跑
把它当排障 SOP：被爆破先看 auth.log 来源与 Fail2ban 是否生效；端口异常先 `ss -tlnp` 定位是哪个服务；"总觉得不安全"就把基线清单重跑一遍找回退项。安全是"清单化 + 常态化"的工程，不是"装个工具就完"的一次性动作。
把安全基线放回自托管整体：它是把"入口、暴露面、补丁、审计"做成最小必做清单的常设防线，也是纵深防御的底座。落地要点：SSH 密钥登录 + 禁 root + Fail2ban/CrowdSec 防爆破；关无用服务、防火墙默认拒绝只放必要口、安全更新自动跟；日志/入侵检测/基线自检脚本 + cron + 告警让安全状态常态可见；防住锁自己、只堵不修、装完不复查、当绝对安全四坑；并认清基线是"起点线"而非"终点线"。当你把基线做成"有清单、有验证、有复查"的常态，自托管的服务器才算真正有了"最基本也最要紧"的那层底气。
结语
系统安全基线的价值，是把"入口、暴露面、补丁、审计"这些必做安全动作清单化、常态化，让基础安全不靠运气而是靠"有清单、有验证、有复查"。落地要点：SSH 用密钥登录 + 禁 root 直登 + Fail2ban/CrowdSec 防爆破；关掉无用服务、防火墙默认拒绝只放必要端口、自动跟进安全更新；把日志审计、入侵检测与基线自检做成脚本 + cron + 告警，让安全状态持续可见；防住锁自己、只堵不修、装完不复查、误当绝对安全四坑，并配好"验证能进再重启"的逃生纪律。认清基线是起点而非终点——当加固成为常态化清单而不是一次性动作，自托管服务器才真正站得住第一道、第二道防线。
