刚入手的VPS，默认配置基本没有防护。SSH 22端口对外开放，允许root账号密码登录，防火墙处于关闭状态，系统还自带不少闲置服务。这类机器直接接入公网，短则几小时就会被扫描器盯上。不是夸大风险，全网IP段每天都在被批量扫描，一旦检测到22端口，就会尝试各类常见密码，成功入侵之后植入挖矿程序或者当作网络跳板。拿到服务器第一件事不要安装宝塔或者部署业务环境，优先把基础安全配置落实到位。
SSH属于核心访问入口，也是攻击行为最多的目标。修改端口是最简单的防护手段，把默认22端口更换成其他数值，例如22022或者随机五位数端口。修改完成之后记得在防火墙放行新端口，不然重启SSH服务之后自己无法连接服务器。更换端口可以拦截绝大多数自动化扫描，但不能当作核心防护手段，端口扫描工具依旧可以找到开放端口。真正有效的方案是启用密钥登录。本地生成一对密钥，将公钥上传至服务器~/.ssh/authorized_keys文件，接着修改配置文件，把PasswordAuthentication参数设置为no。完成这一步，无论密码复杂度多高，服务器都会拒绝密码登录。同步把PermitRootLogin设置成no，日常使用普通账号登录，需要root权限的时候使用sudo提权。这个习惯可以阻止root账号直接被爆破，同时所有操作会留下日志记录。
防火墙需要开启。Ubuntu和Debian系统用ufw操作更简便，执行ufw allow 你的SSH端口，再运行ufw enable启用。CentOS系列系统使用firewalld，执行firewall-cmd --permanent --add-port=你的端口/tcp，之后重载配置。核心原则只放行业务必需端口。网站服务开放80和443端口，数据库端口不要对公网暴露，远程连接数据库可以走SSH隧道。部分教程建议直接关闭防火墙，声称依托云服务商安全组就足够，这属于偷懒做法。安全组属于外层防护，系统防火墙是内层屏障，两层同时配置并不麻烦，出现安全事件时可以多一层缓冲。
系统更新不能忽略。执行apt update && apt upgrade或者yum update，整套操作耗时很短，能够修补已经公开的系统漏洞。可以配置自动安全更新，Ubuntu安装unattended-upgrades组件，CentOS使用dnf-automatic。自动更新存在隐患，内核更新完成后需要重启服务器，不重启新版本内核不会生效。更稳妥的方式是每周手动执行更新，服务器重启安排在业务低峰时段。不要让机器连续数月不更新，不少入侵事件利用的都是数月前就已经修复的漏洞。
Fail2ban是值得部署的工具。它持续监控系统日志，当单个IP短时间内多次登录失败，就自动把这个IP加入防火墙黑名单。默认配置就能抵御大部分暴力破解，需要精细化管控可以自定义规则，例如连续三次登录失败就封禁一小时。安装完成执行systemctl enable fail2ban，设置开机自启动。操作过程留意不要把自己IP封禁，本地调试连续输错密码就会触发封禁，可以提前把常用IP添加进白名单。
账号与权限管理方面，除了禁止root远程登录，还要排查系统多余账号。执行cat /etc/passwd查看账号列表，陌生账号需要重点留意。部分系统镜像预装测试账号，默认密码强度很低。不需要的账号直接删除，或者把shell修改为/sbin/nologin。sudo权限同样需要管控，/etc/sudoers文件只给必要账号开放权限，不要图省事给全部账号ALL权限。
服务最小化配置很容易被忽略。执行systemctl list-unit-files --type=service查看当前运行服务，不熟悉的服务查询具体用途。数据库、邮件、FTP这类服务如果没有业务需求直接关闭。每多一个监听端口，就多一处潜在攻击面。部分VPS商家预装监控代理或者面板程序，不需要就停止运行。关闭服务前确认不会影响系统启动与网络，避免误关掉SSH依赖组件。
日志需要定期查看。/var/log/auth.log适配Debian、Ubuntu系统，/var/log/secure适配CentOS系统，文件记录全部登录尝试记录。抽空浏览日志，查看是否存在大量陌生IP发起的失败登录请求。出现这类记录，说明服务器正在遭受爆破，Fail2ban会自动处理。如果发现不属于本人操作的成功登录记录，必须提高警惕。可以把日志转发到另一台服务器或者云日志平台，防止入侵者清理本地日志掩盖痕迹。
备份的重要性怎么强调都不为过。VPS遭到入侵之后，最坏结果不是重装系统，而是业务数据丢失。定期打包重要文件，传输到另一台服务器或者对象存储，数据库单独导出SQL文件一并备份。很多VPS服务商提供快照功能，付费开启定期快照，相比事后做数据恢复成本更低。备份必须测试恢复流程，无法成功恢复的备份文件没有实际意义。
DDoS防护属于另一个防护维度。普通VPS遭遇CC攻击或者流量攻击，依靠系统层面配置基本无法抵御，需要机房或者上层流量清洗能力。挑选VPS的时候留意商家是否自带基础防护，没有的话至少接入Cloudflare这类CDN，隐藏源服务器IP。源IP一旦暴露，攻击者能够绕过CDN直接打击服务器。发送邮件、配置SSL证书、新增子域名都有可能泄露源IP，尽量不要在公开渠道暴露。
最后，不要在VPS存放不必要的敏感资料。API密钥、数据库密码通过环境变量或者独立配置文件管理，不要硬编码写入业务代码。代码上传GitHub之前，检查.gitignore是否排除配置文件。很多信息泄露事件不是服务器被攻破，而是开发者把密钥提交到公开代码仓库。
完成以上配置，VPS才算脱离裸奔状态，具备基础安全能力。安全不是一次性配置工作，属于长期维护习惯。定期更新系统、查看日志、核查账号、备份数据，这些操作耗时不多，能够规避大量安全问题。