服务器密码策略与账户安全加固的核心是提升认证难度并确保操作可控可追溯：强制8位以上含大小写字母、数字及特殊符号的高强度密码，禁用默认口令，设置90天有效期及5次历史密码限制；ssh限制监听地址、禁止root远程登录，启用fail2ban或iptables限速；关键账户必须部署mfa；定期清理闲置账号、最小化权限分配，并审计登录日志。
服务器密码策略和账户安全加固，核心是让攻击者难以猜解、爆破或绕过认证，同时确保合法用户操作可控、可追溯。
强制高强度密码规则
密码不能太短、不能用常见词、不能包含用户名或服务器名。建议最低8位，必须含大小写字母、数字和特殊符号各至少1种。Linux可通过PAM模块（如pam_pwquality）配置，Windows在组策略中启用“密码必须符合复杂性要求”并设最小长度。
- 禁用默认密码（如root空口令、admin/admin等）
- 设置密码最长使用期限（如90天），到期前7天提醒用户修改
- 记录最近5次密码，禁止重复使用
限制登录行为与访问来源
不是所有IP都需要连服务器，也不是所有时间都该允许登录。缩小攻击面比单纯防爆破更有效。
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- SSH只监听内网或指定管理IP段（修改sshd_config中的ListenAddress）
- 禁用root远程直接登录（PermitRootLogin no），改用普通用户+sudo
- 启用fail2ban或iptables限速：比如5分钟内连续失败3次就封IP 1小时
启用多因素认证（MFA）
光靠密码已不够。加一层动态验证码或密钥，能极大提升账户抗泄露能力。
- Linux下可用Google Authenticator配合PAM（pam_google_authenticator.so）
- Windows Server可部署Microsoft Authenticator或硬件密钥（FIDO2）
- 关键管理账户（如域管理员、云平台主账号）必须开启MFA
定期审计与权限最小化
安全不是设完就完事，要持续检查谁有权限、谁在登录、哪些账户长期不用。
- 删除闲置账户（如离职人员、测试临时账号），禁用而非仅改名
- 按角色分配权限：运维只给必要命令的sudo白名单，开发不赋予系统级权限
- 每周检查/var/log/secure或Windows事件日志，关注异常登录时间、地点、失败频次
不复杂但容易忽略——真正起作用的不是最炫的技术，而是把基础策略落到位、定期回头看。
