腾讯云轻量服务器配置清单：从安全组到 HTTPS

这份清单是我给自己新机器用的，按顺序做一遍大概半小时。每项后面写了"为什么"和"不做的后果"，方便你判断哪些可以跳过。

1. 安全组最小开放

只开 22（SSH）、80、443。数据库、Redis 之类一律不开公网，需要远程就走 SSH 隧道。

不做的后果：裸奔的 3306/6379 会被扫描器几分钟内摸到，弱口令直接沦陷。

2. SSH 加固

• 禁密码登录，只留密钥：PasswordAuthentication no
• 改默认端口可选（收益不大，靠密钥就够）
• 用 fail2ban 挡暴力破解

不做的后果：auth 日志里全是爆破记录，密码登录早晚被撞开。

3. 免费 DV 证书 + 自动续期

腾讯云控制台能给每个域名免费申请 DV 证书（也有 Let's Encrypt 路线）。轻量做法：控制台申请 → 下载 nginx 版 → 放到 /etc/nginx/ssl/ → 配置 443。

续期是重点：DV 证书有效期短，忘了续就是全站红锁。要么日历提醒，要么上 certbot 自动续。

4. http 强制跳 https

server {
    listen 80;
    server_name example.cn;
    return 301 https://$host$request_uri;
}

注意用 $host 而不是写死域名，子域名复用这条规则时不会跳错。

5. HSTS（可选但推荐）

443 里加 add_header Strict-Transport-Security "max-age=31536000";。加了之后浏览器以后直接走 https，省一次跳转。

坑：HSTS 一旦生效很难撤，确认 https 稳定后再开，别第一天就加。

顺序很重要：先安全组、再 SSH、再证书、最后跳转和 HSTS。反过来做（先开 HSTS 再调证书）容易把自己锁在外面。

这套做完，一台轻量服务器就算"能放心放东西"了。剩下的就是备份策略，另写一篇。

← 返回首页