debian服务器轻量业务安全运维指南

轻量业务跑在Debian上，最常见的误区是把“安全”等同于“装一堆监控软件”。实际上，一台只跑Nginx、PHP-FPM、MariaDB或者少量Python/Node服务的VPS，资源本来就紧张，真正有效的安全运维是把攻击面缩到最小、把权限收到最紧、把日志留到最关键的地方。下面直接讲具体怎么做。

Debian默认安装OpenSSH后允许密码登录，公网IP一旦开放22端口，暴力破解几乎是持续不断的。第一件事不是改端口，而是禁用密码登录、只允许密钥认证。编辑/etc/ssh/sshd_config，确认以下配置：

PermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication no
UsePAM yes

PermitRootLogin设为prohibit-password表示root只能用密钥登录，比直接yes更安全。改完执行systemctl reload ssh。不要急着改端口，因为端口扫描成本极低，改到2222或22022只能挡住最无脑的脚本，对针对性扫描没用。真正有效的是配合fail2ban限制尝试频率。Debian 12中安装fail2ban后，创建/etc/fail2ban/jail.local：

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

这样10分钟内失败3次就封禁1小时。轻量服务器内存占用可忽略，但能挡掉九成以上的爆破流量。另外建议限制SSH允许登录的用户，在sshd_config末尾加AllowUsers youruser，只允许你日常使用的非root账号。

Debian的unattended-upgrades很多人不敢开，怕自动更新把服务更挂了。实际上对轻量业务来说，不更新带来的风险远大于更新导致的中断。关键是只启用安全更新源，不启用普通更新。安装后编辑/etc/apt/apt.conf.d/50unattended-upgrades，把来源限制在Debian安全仓库：

Unattended-Upgrade::Origins-Pattern {
        "origin=Debian,codename=${distro_codename},label=Debian-Security";
};

然后在/etc/apt/apt.conf.d/20auto-upgrades中设置：

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

安全更新通常只修CVE，不引入大版本变更，对Nginx、OpenSSL、内核等的安全补丁能及时打上。轻量业务重启服务成本低，比暴露已知漏洞划算得多。如果实在担心，可以设置只在凌晨执行，并在更新前后用systemd timer配合脚本做健康检查。

Debian轻量服务器不建议用复杂的iptables规则手工维护，直接用nftables或者ufw。ufw对Debian足够用，逻辑清晰。安装后先设置默认策略：

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

如果业务只有Web和SSH，就只开这三个端口。数据库端口3306或5432绝对不要对公网开放。很多轻量业务被入侵就是因为把MariaDB或Redis绑到了0.0.0.0且没设密码。检查/etc/mysql/mariadb.conf.d/50-server.cnf中的bind-address，确保是127.0.0.1。Redis同理，检查redis.conf中的bind和requirepass。

Nginx和PHP-FPM在Debian中默认以www-data用户运行，这个用户权限较低，但问题在于很多人的网站目录权限给得太宽。常见错误是chmod -R 777 /var/www。正确做法是：网站文件属主设为你的部署用户，组设为www-data，目录权限755，文件权限644。需要写入的目录如uploads、cache单独设775，并确认属组为www-data：

chown -R deployuser:www-data /var/www/site
find /var/www/site -type d -exec chmod 755 {} \;
find /var/www/site -type f -exec chmod 644 {} \;
chmod -R 775 /var/www/site/uploads

PHP-FPM的进程池配置中，建议为每个站点单独建立池，使用不同的用户和php_admin_value限制。在/etc/php/8.2/fpm/pool.d/下创建独立conf，设置：

[site]
user = siteuser
group = siteuser
listen = /run/php/site.sock
listen.owner = www-data
listen.group = www-data
php_admin_value[open_basedir] = /var/www/site:/tmp
php_admin_value[disable_functions] = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

open_basedir限制PHP只能访问站点目录和临时目录，即使代码存在文件包含漏洞，也无法读取/etc/passwd等系统文件。disable_functions禁用高危函数，但注意curl_exec如果业务依赖远程请求就不能禁，需要按实际调整。轻量业务如果只是展示型站点或简单API，禁掉exec类函数几乎不影响功能。

MariaDB安装后默认root通过unix_socket认证，这本身是安全的。但很多运维为了远程管理方便，会创建可远程登录的root或高权限账号，这是大忌。轻量业务只需要一个业务账号，权限限定在业务库，且只允许本地访问：

CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'strongpassword';
GRANT SELECT,INSERT,UPDATE,DELETE ON appdb.* TO 'appuser'@'localhost';
FLUSH PRIVILEGES;

不要给DROP、ALTER、CREATE等DDL权限，业务运行中用不到。定期备份用单独的备份账号，也只授SELECT和LOCK TABLES权限。如果业务需要从另一台服务器连接数据库，用SSH隧道或内网私有网络，不要直接暴露3306端口。

轻量服务器不适合上ELK全家桶，但基本的日志轮转和关键日志监控必须有。Debian默认logrotate会处理大部分日志，重点看/var/log/auth.log、/var/log/syslog、/var/log/nginx/access.log和error.log。建议配置一个简单的日志告警脚本，用cron每小时检查auth.log中是否有异常登录成功记录：

#!/bin/bash
grep "Accepted" /var/log/auth.log | grep -v "your_ip" | tail -20

如果发现非自己IP的Accepted记录，立即检查。更高效的方式是用logwatch或简单的awk脚本统计每天失败登录次数、异常User-Agent请求等。Nginx日志中重点监控对.xml、.env、.git、wp-login.php等敏感路径的扫描行为，可以在Nginx配置中直接拦截：

location ~* \.(env|git|sql|log|xml|yml)$ {
    deny all;
}
location ~* /\.(git|svn|hg) {
    deny all;
}

这些路径正常业务不会访问，直接拒绝能减少大量扫描噪音和潜在信息泄露。

Debian默认内核参数对服务器场景已经做了基本优化，但有几项安全相关参数建议显式设置。编辑/etc/sysctl.d/99-security.conf：

net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
kernel.randomize_va_space = 2

这些参数防止ICMP重定向攻击、开启SYN Cookie防护、保持地址空间随机化。对轻量业务来说，这些是零成本的安全提升。同时建议在/etc/security/limits.conf中限制www-data用户的进程数和文件打开数，防止PHP进程失控拖垮整机：

www-data soft nproc 100
www-data hard nproc 200
www-data soft nofile 4096
www-data hard nofile 8192

这样即使某个PHP脚本出现死循环或fork炸弹，也不会把服务器资源耗尽。

安全运维的底线是数据可恢复。轻量业务不适合复杂的备份系统，但至少要做到数据库每日备份和站点文件定期快照。数据库备份用mysqldump配合cron：

0 3 * * * /usr/bin/mysqldump --single-transaction --quick --lock-tables=false appdb | gzip > /backup/db/appdb_$(date +\%Y\%m\%d).sql.gz

站点文件如果不大，用tar打包即可：

30 3 * * * tar -czf /backup/www/site_$(date +\%Y\%m\%d).tar.gz -C /var/www site

关键是把备份文件同步到异地。可以用rsync同步到另一台服务器或对象存储，不要在本地留唯一副本。轻量业务备份频率不需要太高，但恢复流程要提前测试过，知道怎么从备份还原数据库和文件，否则备份只是心理安慰。

Debian安装时如果选了多余的服务或桌面组件，会显著增加攻击面。用ss -tlnp查看所有监听端口，只保留业务必需的。用dpkg -l列出已安装包，卸载不需要的。特别注意一些默认安装的弱服务，如exim4邮件服务，如果业务不发邮件，直接apt purge exim4*。还有avahi-daemon、cups等，在服务器上完全用不到，卸载可以减少内存占用和潜在漏洞。

定期执行debsecan或debian-security-support检查已安装包的安全状态。Debian 12中可以用apt list --upgradable配合debian-security-support包快速识别哪些包有已知安全问题。轻量服务器不需要每天审计，但每月花十分钟检查一次安全更新状态和异常登录记录，能避免大部分长期潜伏的问题。

轻量业务安全运维的核心不是堆砌工具，而是让每个组件都只做它该做的事。SSH只允许密钥登录、Web进程只能访问站点目录、数据库只接受本地连接、防火墙只开放必要端口、备份有异地副本。这五条做到，即使某个环节出现漏洞，攻击者能造成的破坏也被限制在很小的范围内。Debian本身的稳定性和安全更新机制足够可靠，运维要做的就是把默认配置往“更少权限、更少暴露”的方向调整，而不是引入额外的复杂系统。