VPS 管理规范

选择 VPS

• 地理位置应贴近用户 — 对面向用户的程序而言，延迟比原始硬件参数更重要
• ARM 实例在多数工作负载下性能相当，但成本低 20–40% — 首先确认兼容性
• 共享 vCPU 已能满足大多数应用需求 — 仅在持续高计算负载场景下才需专用 CPU
• 带宽超额费用可能超过服务器本身费用 — 选择套餐前务必确认带宽限额

初始配置优先级

• 首次启动后立即更新系统软件包 — 新镜像通常已数月未同步安全补丁
• 在禁用 root 前，先创建具备 sudo 权限的非 root 用户 — 否则将导致自身被锁定，只能通过服务商控制台恢复访问
• 启用 SSH 密钥认证后再禁用密码登录 — 务必先测试密钥能否成功登录
• 在暴露任何服务前配置防火墙规则 — 默认策略常为开放全部端口

SSH 安全加固

• 将 SSH 端口从 22 更改为其他端口 — 可减少 99% 的自动化扫描流量
• 禁用 root 用户的 SSH 登录 — 强制使用 sudo，确保操作可审计
• 禁用密码认证 — 仅允许密钥认证，不设例外
• 安装 fail2ban — 在多次失败登录尝试后自动封禁 IP，任何公网服务器均须部署

防火墙基础原则

• 默认拒绝所有入站连接，仅允许出站 — 仅开放业务必需的端口
• 启用防火墙前，务必先放行 SSH（含自定义端口） — 否则将彻底失联
• 仅当运行 Web 服务时才开放 HTTP/HTTPS（80/443）端口
• 保持防火墙规则极简 — 每一个开放端口都构成潜在攻击面

资源管理

• 即使内存充足也应启用 swap — 可避免流量高峰期间触发 OOM Killer
• 持续监控磁盘使用率 — 日志与 Docker 镜像会静默占满磁盘空间
• 配置基础监控（运行时间、磁盘、内存） — 在用户反馈故障前主动发现问题
• 定期重启系统以应用内核更新 — unattended-upgrades 并不能覆盖全部更新项

备份与快照

• 服务商提供的快照 ≠ 备份 — 快照绑定于特定平台，不可迁移
• 务必在真正需要前测试恢复流程 — 未经验证的备份只是自我安慰
• 实现备份自动化 — 手动备份极易被遗忘
• 至少保留一份异地备份 — 服务商发生故障时，本地所有数据将一并丢失

网络配置

• 静态 IP 通常是默认选项 — 但在用于 DNS 解析前请务必核实其稳定性
• IPv6 免费且日益成为标配 — 若无明确限制原因，请启用 IPv6
• VPS 实例间启用私有网络通信，可使内部流量绕过公网
• 妥善记录各服务器 IP 地址 — 多实例环境下极易混淆或遗漏

成本意识

• 已停止的实例仍会产生存储费用 — 及时删除闲置服务器
• 预留实例长期使用可节省 30–50% 成本 — 若确认长期使用，建议提前承诺
• 带宽常是隐藏成本来源 — 尤其对媒体密集型应用影响显著
• 多个小型 VPS 往往优于单台大型 VPS — 提升隔离性与容灾能力

服务商特异性说明

• Hetzner、DigitalOcean、Linode、Vultr 等主流服务商操作逻辑高度相似 — 技能可跨平台复用
• 服务商级防火墙（Security Groups）作用于操作系统防火墙之前 — 两者均需配置
• 服务商控制台可在 SSH 失效时提供紧急访问通道 — 务必提前掌握访问方式
• 部分服务商对 IPv4 地址单独计费 — 不要默认假定已包含 IPv4 地址

常见错误

• 数月不更新系统 — 安全漏洞持续累积
• 所有操作均以 root 身份执行 — 无审计痕迹，故障影响范围最大化
• 不配置防火墙，理由是“没人知道我的 IP” — 自动化扫描工具可发现一切公开资产
• 上线即过度配置规格 — 应从小规格起步，按需扩容
• 忽视服务商状态页 — 许多异常现象实为服务商侧故障所致