VPS 安全加固入门：防火墙、Fail2ban 与攻击日志怎么看

新买的 VPS 装上系统后，很多人第一件事是装宝塔、开 SSH，然后就不管了。结果第二天一看登录日志，几百条失败的 root 尝试。今天这篇用清单形式讲清 VPS 安全加固的三件套：防火墙、Fail2ban、日志阅读。

VPS 安全防护示意图 AI 操作示意图·以官网实际界面为准

1. 防火墙：先关掉没用的入口

Ubuntu 默认不带开着的防火墙规则，装上 UFW 并按"默认拒绝入站、放行出站"来跑：

sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
# 放行 SSH，端口改过就写实际端口，比如 2222
sudo ufw allow 22/tcp
# 放行网站端口
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

看到 Status: active 和 Default: deny (incoming), allow (outgoing) 就说明生效了。规则顺序很重要：先 deny 再 allow，检查时用 sudo ufw status numbered 看编号，删错规则用 sudo ufw delete <编号>。

2. SSH 加固：密钥登录 + 禁止 root

防火墙挡不住已开放的端口，SSH 还开着密码登录，等于留了个敲门通道：

# 本机生成密钥后把公钥传到服务器
ssh-keygen -t ed25519
ssh-copy-id user@服务器IP

# 服务器上关闭密码登录与 root 登录
sudo nano /etc/ssh/sshd_config
# PasswordAuthentication no
# PermitRootLogin no
sudo systemctl restart ssh

换端口（比如改成 2222）能明显减少扫描噪音，但别只依赖换端口——它只是把噪音移到新端口，密钥登录才是真正的门槛。改端口记得同步更新防火墙放行规则。

VPS 安全三步流程示意图 AI 操作示意图·以官网实际界面为准

3. Fail2ban：让暴力破解自动吃闭门羹

Fail2ban 扫描 /var/log/auth.log，同一 IP 连续多次登录失败就自动封禁一段时间：

sudo apt install fail2ban
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

# 查看状态与被封 IP
sudo fail2ban-client status sshd
# 手动解封（确认误封时）
sudo fail2ban-client set sshd unbanip 1.2.3.4

默认配置对 sshd 已经可用；想看更严格的阈值（比如 3 次失败封 1 小时），在 /etc/fail2ban/jail.local 里改 maxretry 和 bantime 即可。注意：Fail2ban 降低的是暴力破解的成功率，替代不了强密码和密钥登录。

4. 攻击日志怎么看

被攻击了别慌，先看日志确认攻击类型：

# 登录认证日志（SSH 相关）
sudo tail -n 50 /var/log/auth.log
# 登录失败统计
sudo grep "Failed password" /var/log/auth.log | wc -l
# 最近登录记录
last -n 20

常见日志信号：

日志特征	含义
`Failed password for root from <IP>`	有人尝试 root 密码登录
同一个 IP 反复出现	疑似自动化扫描或暴力破解
`Accepted password` 但你不认识的时间	账号可能已被登录，立即改密并查可疑进程