总览/ 课程地图/ S2 买与备

M09首次登录与加固

所属路径 A / B / C 第 9 / 31 讲 S2 买与备

把门锁好，再搬东西进去

学完能把一台裸机加固到只剩三个端口对外开放

01为什么重要

公网上的机器平均几分钟就被扫一次。默认允许的密码登录是最大的入口。加固的核心只有一句：把能进来的方式减少到你自己知道的那一种。

02要讲清的 3 件事核心要点

密钥登录；禁 root 密码登录
安全组只开 22 / 80 / 443
时区、swap、运维用户 + sudo

03照着做：4 步操作顺序

上传公钥，验证密钥登录可用
关掉密码登录与 root 直连（先开第二个会话）
安全组只放 22 / 80 / 443
建运维用户，给受限 sudo

sudo sshd -t && sudo systemctl reload sshd
sudo ufw allow 22,80,443/tcp
sudo ufw status verbose

04产出物与验收做完怎么算过

产出物

加固后的机器

验收判据

可验密码登录被拒；外部扫描只剩三个端口

05练习15 分钟内可做完

在保持第二个会话不断开的前提下改 sshd，验证自己没被锁在门外。

06最容易踩的坑

改 sshd 时把自己锁在门外

后果：改 sshd 时把唯一会话断了，人被锁在门外——所以必须先开第二个会话再改。

07自检表进度存在本机浏览器

0 / 6

步骤我已完成：上传公钥，验证密钥登录可用
步骤我已完成：关掉密码登录与 root 直连（先开第二个会话）
步骤我已完成：安全组只放 22 / 80 / 443
步骤我已完成：建运维用户，给受限 sudo
验收我能用命令证明：密码登录被拒；外部扫描只剩三个端口
避坑我确认没有出现：改 sshd 时把自己锁在门外