腾讯云服务器部署 Checklist：安全组、防火墙与 fail2ban
新买的服务器上线前，安全加固比功能上线更重要。本文记录我养成的一套固定流程，从云厂商控制台到系统层面逐层收紧。
1. 安全组只放行 80 / 443
在腾讯云安全组里，我把入站规则精简到只保留 80 和 443，出站规则保持默认。22 端口我没有直接暴露，而是先通过控制台 VNC 登录，配置好密钥后再通过跳板机访问。这样可以大幅降低 SSH 爆破面。
2. SSH 改端口 / 密钥登录
修改 /etc/ssh/sshd_config，把 PermitRootLogin 设为 prohibit-password，关闭密码登录 PasswordAuthentication no，并把本地公钥写到 ~/.ssh/authorized_keys。修改完后 systemctl restart sshd。端口我也改成了非默认高位端口，进一步减少扫描流量。
3. fail2ban 配置
安装 fail2ban 后，我启用了 sshd 监狱，设置 maxretry=3、bantime=3600。三分钟内连续三次登录失败就封禁一小时。查看封禁列表用 fail2ban-client status sshd，误封时可以用 fail2ban-client set sshd unbanip x.x.x.x 解封。
4. 自动安全更新
我安装了 unattended-upgrades，配置成只自动安装安全更新，不自动升级主版本。每天凌晨两点运行，更新后如果影响服务再手动处理。这样既能及时打补丁，又不会因为大版本升级导致兼容性问题。
5. 日常巡检命令
我常用的几条命令：last 看登录记录，netstat -tulnp 看监听端口，df -h 看磁盘，top 看负载。每周一次，花五分钟扫一眼，很多异常都能在爆发前发现。