把一台全新云服务器挂上公网，日志里几小时内就会出现大量爆破尝试。默认配置等于裸奔，安全加固不是可选项，而是开机后的第一课。三件套做完，九成九的扫描都白费。
第一件：改掉 SSH 默认端口
22 端口是扫描器的第一目标。编辑 /etc/ssh/sshd_config，把 Port 改成一个高位端口（比如 22222），记得先在安全组放行新端口再重启 sshd，顺序反了会把自己锁在门外。
第二件：密钥登录替代密码
本地生成密钥对，公钥放进服务器的 ~/.ssh/authorized_keys，之后登录不用密码，也无法被爆破。确认密钥能正常登录后，再关闭密码登录，完成从"能被试"到"试也没用"的升级。
第三件：防火墙只开必要端口
云平台的安全组和系统内的防火墙至少配一层：网站开 80/443，SSH 只对需要的管理端开放，数据库 3306 这类端口绝不暴露公网。改完用端口扫描工具验一遍，能少开一个是一个。三件套半小时搞定，换来的是长久的踏实。