我自己折腾服务器这些年，被扫过、被爆破过、也被小流量DDoS打得网站半天打不开。后来慢慢发现，服务器防攻击这事，大部分时候不是跟什么高手过招，而是跟一堆自动扫描脚本和机器人较劲。你把基础的东西做扎实了，就能挡掉九成以上的麻烦。电脑端操作也没什么神秘的，会登录服务器就会做，只是很多人懒得去弄。
先说登录这一关。默认的SSH端口22，全世界都知道，扫描器第一个试的就是它。改成一个不常用的端口，比如三万以上的数字，能少掉很多噪音。改端口这件事在电脑上操作很简单，用SSH工具连上去，编辑 /etc/ssh/sshd_config，找到 Port 22 改成你想要的，保存后重启SSH服务。但注意，改完先别关当前连接，另开一个窗口用新端口试一下能不能连上，确认没问题再把旧的关掉，不然容易把自己锁在外面。密码登录也建议关掉，改用密钥。在本地电脑生成一对密钥，把公钥传到服务器 ~/.ssh/authorized_keys 里，然后在配置里把 PasswordAuthentication 改成 no。这样别人就算知道你IP和端口，没有私钥也进不来。root账户直接登录也关掉，用普通用户登录后再 su 或 sudo 提权。
防火墙是第二层。云服务器一般都有安全组，在网页控制台里就能操作，只放行你真正要用的端口，比如网站走80和443，SSH走你改过的那个端口，其他一律拒绝。服务器内部如果开了firewalld或者ufw，也照这个思路配一遍。有些服务默认监听0.0.0.0，像Redis、MongoDB、MySQL，如果不需要外网访问，就让它绑定127.0.0.1，别图省事直接暴露在公网上。我见过不少案例，数据库端口开着，弱密码，第二天就被清库了。
SSH爆破可以用fail2ban来挡。装完之后配一下规则，同一个IP连续输错几次密码就临时封掉。Windows服务器的话，远程桌面3389也是重灾区。改端口、开网络级别身份验证、在防火墙里限制允许连接的IP范围，这三招下去能清净很多。如果只有固定几个地方需要连，直接把来源IP加白名单最省心。
系统更新别偷懒。很多攻击利用的都是已经公开补丁的漏洞，你只要打上补丁就没事，但偏偏有人半年不更新。Linux上用包管理器定期更新，Windows开自动更新或者用WSUS统一管。更新之前做个快照，万一新补丁出问题还能回滚。
Web层是攻击重灾区。如果跑的是网站，Nginx可以配限流，对同一IP的请求频率做限制，防一点简单的CC。更省事的办法是套CDN，源站IP隐藏起来，攻击者连你真实IP都找不到。遇到大流量DDoS，自己扛是扛不住的，得用云厂商的高防IP或者流量清洗服务。这个钱该花就花，硬扛只会让整台机器失联。
日志要常看。Linux的 /var/log/auth.log 或者 /var/log/secure 里会记录登录失败的信息，如果发现某个IP一直在试，手动封掉或者交给fail2ban。云监控里设个告警，CPU或者带宽突然飙高的时候能收到通知。别等到网站打不开了才去查，那时候可能已经被打了半小时。
备份是最后一道保险。不管防得多好，总有万一。重要数据定期备份，最好异地存一份。云服务器可以开自动快照，物理机就自己写个脚本定时打包传到另一台机器或者对象存储里。备份完偶尔抽一个恢复看看，确认文件是好的，不然真出事的时候备份打不开就白搭了。
还有一点容易忽略，你用来登录服务器的那台电脑本身也得安全。别在公共WiFi下直接连生产服务器，本地装个杀毒软件，密钥文件加个密码。有条件的话弄一台跳板机，所有服务器只允许从跳板机登录，跳板机再做严格管控。这样就算你本地电脑中了招，攻击者也摸不到服务器。
这些东西听起来多，实际做下来一两个小时就能配完。配完之后日常也不用怎么管，偶尔看看日志和告警就行。真正遇到大规模攻击，还是得靠专业的高防服务，但至少日常那些自动扫描和脚本小子，基本就绕着你走了。