VPS 到手后的初始化配置脚本 v2：从系统更新到安全加固

Author： Rui
发布时间：August 9, 2026
8 views
No comments
4444 words
Categories：技术

拿到一台新的 VPS（俗称小鸡），无论打算建站还是跑服务，先把地基打好最重要。这篇整理了一套标准的初始化流程，涵盖系统更新、内存优化、日志瘦身、网络加速与安全防护，适合 Debian 11/12 或 Ubuntu 22.04 LTS。
<blockquote>
涉及修改系统配置，操作前建议先备份重要数据。
</blockquote>
<h2 id="_1">一、系统基础设置</h2>
<h3 id="1">1. 更新软件源与组件</h3>
拿到机子第一件事，先更新系统现有软件包。这里给两种方案，按使用习惯选即可：
方案 A：极简基础环境（适合只跑单一服务 / 洁癖党）
只装最核心的下载工具、证书组件和防火墙，保持系统纯净。
<div class="codehilite"><pre><code>apt update &amp;&amp; apt upgrade -y
apt install -y sudo curl wget ca-certificates ufw
</code></pre></div>

方案 B：全能实用环境（推荐，适合日常折腾 / 建站主力机）
在基础环境之上，增加常用编辑器、系统监控、防断网终端和 Python 环境，一步到位。
<div class="codehilite"><pre><code>apt update &amp;&amp; apt upgrade -y
apt install -y sudo curl wget ca-certificates ufw nano vim git htop tmux screen unzip tar lsof jq python3 python3-pip python3-venv python3-systemd
</code></pre></div>

工具科普：<code>htop</code> 是更直观的进程监控；<code>tmux</code>/<code>screen</code> 是防断线神器，跑长耗时脚本（比如编译环境）必用。
<h3 id="2-ufw">2. 配置 UFW 防火墙</h3>
很多新开的 VPS 默认防火墙是全开放的，开启防火墙就是铸造你的第一道防线。
<div class="codehilite"><pre><code># 放行必要端口（极其重要，不放行 SSH 会被关在门外！）
ufw allow ssh # 或: ufw allow 你的SSH端口号/tcp
ufw allow 80/tcp # 放行 HTTP，用于申请证书
ufw allow 443/tcp # 放行 HTTPS，用于加密访问
# 启动防火墙
ufw enable
</code></pre></div>

<h3 id="3">3. 校正系统时间</h3>
很多海外 VPS 默认不是国内时间，看日志极不方便，建议改成上海时区。
<div class="codehilite"><pre><code>sudo timedatectl set-timezone Asia/Shanghai
</code></pre></div>

<h3 id="4">4. 限制系统日志大小（防硬盘被撑爆）</h3>
新手很容易忽略：Debian/Ubuntu 的 <code>systemd-journald</code> 日志如果不加限制，几个月后可能悄悄吃掉好几个 G，对 10G/20G 小硬盘机器非常不友好。
<div class="codehilite"><pre><code># 1. 立即清理现有日志，仅保留最新 500M
sudo journalctl --vacuum-size=500M
# 2. 修改配置：限制日志总大小 500M，单文件最大 50M
sudo sed -i -E &#39;s/^#?SystemMaxUse=.*/SystemMaxUse=500M/&#39; /etc/systemd/journald.conf
sudo sed -i -E &#39;s/^#?SystemMaxFileSize=.*/SystemMaxFileSize=50M/&#39; /etc/systemd/journald.conf
# 3. 重启日志服务生效
sudo systemctl restart systemd-journald
</code></pre></div>

避坑提示：执行 <code>sudo</code> 时若提示 <code>sudo: unable to resolve host XXX: Name or service not known</code>，说明主机名没绑定本地 IP，不影响命令执行，但看着烦，可运行 <code>echo "127.0.0.1 $(hostname)" | sudo tee -a /etc/hosts</code> 修复。另外清理日志时提示 <code>freed 0B</code>，说明日志还不到 500M，属正常现象，无需理会。
<h2 id="zram-swap">二、内存优化：ZRAM 与传统 SWAP（二选一）</h2>
小内存机器必备，防止内存爆满导致失联或服务崩溃。这里给两种主流方案，请二选一。
<h3 id="azram-512m-1g-io">方案 A：ZRAM 内存压缩（推荐：512M-1G 极小内存或低 I/O 机器）</h3>
ZRAM 不读写硬盘，而是占用少量 CPU 在内存里开辟一块压缩区。速度极快，还能保护便宜小鸡那可怜的小固态寿命。使用 spiritLHLS 的一键脚本：
<div class="codehilite"><pre><code>curl -L https://raw.githubusercontent.com/spiritLHLS/addzram/main/addzram.sh -o addzram.sh &amp;&amp; chmod +x addzram.sh &amp;&amp; bash addzram.sh
</code></pre></div>

<h3 id="b-swap-cpu">方案 B：传统物理 SWAP（推荐：硬盘大、对 CPU 要求高的机器）</h3>
如果物理内存已有 2G 以上，或运行的服务（如建站数据库）特别吃 CPU、不适合 ZRAM，就用传统 SWAP 分区。使用 yuju520 的一键分配脚本：
<div class="codehilite"><pre><code>wget -O swap.sh https://raw.githubusercontent.com/yuju520/Script/main/swap.sh &amp;&amp; chmod +x swap.sh &amp;&amp; clear &amp;&amp; ./swap.sh
</code></pre></div>

<h2 id="bbr">三、内核与 BBR 加速</h2>
SSH 连接后输入 <code>uname -r</code>，如果输出版本号大于 4.9，系统即自带 BBR。手动开启 BBR 命令如下：
<div class="codehilite"><pre><code>echo &quot;net.core.default_qdisc=fq&quot; &gt;&gt; /etc/sysctl.conf
echo &quot;net.ipv4.tcp_congestion_control=bbr&quot; &gt;&gt; /etc/sysctl.conf
sysctl -p
# 验证是否成功加载
lsmod | grep bbr
</code></pre></div>

<h2 id="ssh">四、修改 SSH 端口（安全加固）</h2>
默认的 22 端口是黑客脚本暴力破解的重灾区，改成高位端口能大幅减少扫描骚扰。
<blockquote>
⚠️ NAT VPS 不要改！ NAT 机器直接使用商家提供的端口映射即可。
⚠️ 务必先在防火墙里放行新端口，否则会被关在门外。
</blockquote>
<div class="codehilite"><pre><code>sudo ufw allow 55555/tcp
# 将 SSH 端口修改为 55555
sudo sed -i &#39;s/^#\?Port 22.*/Port 55555/g&#39; /etc/ssh/sshd_config
# 重启 SSH 服务
sudo systemctl restart sshd
</code></pre></div>

重启后不要立即关闭当前 SSH 窗口，先新开一个窗口用新端口试连，以防失联。
<h2 id="fail2ban">五、安装 Fail2ban 防爆破</h2>
Fail2ban 能自动封禁多次试错的 IP，配合修改端口食用效果更佳。
<div class="codehilite"><pre><code>apt install fail2ban -y
# 创建配置文件
cat &lt;&lt; &#39;EOF&#39; &gt; /etc/fail2ban/jail.local
[DEFAULT]
ignoreip = 127.0.0.1
allowipv6 = auto
backend = systemd
[sshd]
enabled = true
filter = sshd
port = ssh
action = iptables[name=SSH, port=ssh, protocol=tcp]
logpath = /var/log/auth.log
bantime = 86400
findtime = 86400
maxretry = 3
EOF
# 启动与验证
sudo systemctl enable fail2ban --now
sudo systemctl restart fail2ban
fail2ban-client status
</code></pre></div>

<h2 id="cloudflare-warp">六、Cloudflare WARP 配置（网络补全与解锁）</h2>
WARP 可以解决 IPv6-Only 访问 IPv4 资源的问题，也能用来解锁 Netflix 等流媒体。推荐使用 fscarmen 的一键脚本：
<div class="codehilite"><pre><code>wget -N https://gitlab.com/fscarmen/warp/-/raw/main/menu.sh &amp;&amp; bash menu.sh
</code></pre></div>

<h2 id="docker">七、Docker 环境配置</h2>
非大陆服务器一键安装并设置开机自启：
<div class="codehilite"><pre><code>curl -fsSL https://get.docker.com -o get-docker.sh &amp;&amp; sh get-docker.sh
sudo systemctl enable docker --now
docker compose version
</code></pre></div>

如果是大陆服务器，请使用 <code>curl https://install.1panel.live/docker-install -o docker-install &amp;&amp; sudo bash ./docker-install</code>。
<h2 id="_2">八、最后的测试环节</h2>
配置全搞定后，跑个脚本看看这台小鸡体质和网络如何。
<h3 id="1_1">1. 机器性能跑分测试</h3>
<div class="codehilite"><pre><code># NodeQuality 测试脚本（测试硬件性能与基本网络）
bash &lt;(curl -sL https://run.NodeQuality.com)
</code></pre></div>

<h3 id="2">2. 网络回程路由及流媒体解锁测试</h3>
国内用户最关心的还是三网回程线路和看剧解锁：
<div class="codehilite"><pre><code># 一键测试流媒体解锁情况（RegionRestrictionCheck）
bash &lt;(curl -L -s check.unlock.media)
# 安装 NextTrace 路由跟踪工具
curl nxtrace.org/nt | bash
# 跑完可自己测回程，例如测上海电信回程：
nexttrace 202.96.209.133
</code></pre></div>

<h2 id="_3">参考文献</h2>
<ul>
<li><a class="no-external-link" href="https://blog.pppfz.com/posts/new-vps-common-setup.html" target="_blank">一台新到手的VPS服务器必做的十二项配置</a></li>
<li><a class="no-external-link" href="https://linux.do/t/topic/160305" target="_blank">我拿到VPS服务器必做的那些事</a></li>
<li><a class="no-external-link" href="https://cloud.tencent.com/developer/article/2591103" target="_blank">防暴力破解，不止靠 2FA——fail2ban 自动封禁恶意 IP</a></li>
<li><a class="no-external-link" href="https://i-nmb.cn/linux-logs-save-space.html" target="_blank">Linux日志管理实战：rsyslog与journald大小限制配置指南</a></li>
<li><a class="no-external-link" href="https://kui04.github.io/blog/swap-zram-and-zswap/" target="_blank">SWAP, ZRAM and ZSWAP 原理浅析</a></li>
<li><a class="no-external-link" href="https://github.com/spiritLHLS/addzram" target="_blank">一键ZRAM脚本 - spiritLHLS</a></li>
<li><a class="no-external-link" href="https://github.com/yuju520/Script" target="_blank">一键SWAP脚本 - yuju520</a></li>
<li><a class="no-external-link" href="https://zhuanlan.zhihu.com/p/1900834349038932784" target="_blank">WARP 实现单栈 VPS 添加 IPv4/IPv6 双栈出口并解锁流媒体</a></li>
</ul>
<hr />
本文由 NodeSeek 技术帖整理改写，原文链接：https://www.nodeseek.com/post-724033-1

Last modification：August 9, 2026