配置教程腾讯 轻量云 香港 原生 ip的安全设置与备份策略

1.

概述与准备

在开始前，确认已在腾讯云控制台购买或开通轻量应用服务器（香港原生IP），记录实例ID、内网/公网IP和控制台登录账号。准备一台本地终端（Linux/Mac/WSL），并安装ssh、rsync、tar、openssl、cron；如需上传到对象存储，安装腾讯云 COS 命令行工具（coscli/coscmd）。

2.

在控制台绑定原生IP与配置安全组

登录腾讯云控制台 → 轻量应用服务器 → 点击实例 → 网络设置：如果需要绑定原生公网IP，选择“绑定原生IP/弹性公网IP”，确认带宽。然后进入“安全组” → 新建或编辑安全组规则：仅放行必要端口（SSH 22、HTTP 80、HTTPS 443、应用端口），来源使用可信IP或IP段，避免0.0.0.0/0开放管理端口。

3.

主机层SSH硬化（具体命令）

在实例上执行：

# 生成密钥（本地）
ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa_light
# 上传公钥到服务器
ssh-copy-id -i ~/.ssh/id_rsa_light.pub user@你的原生IP
# 禁用密码登录（在服务器）
sudo sed -i 's/^#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
sudo systemctl restart sshd

同时建议改默认端口：编辑 /etc/ssh/sshd_config 修改 Port 22 为其它端口并在安全组放行该端口。

4.

防火墙与主机级访问控制

根据系统选择 ufw 或 iptables：

# Ubuntu + UFW 示例
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 你的SSH端口/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

或用 iptables 写入持久规则。不要仅依赖控制台安全组，主机防火墙是最后防线。

5.

安装并配置 fail2ban 防暴力破解

Debian/Ubuntu：

sudo apt update && sudo apt install -y fail2ban
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
# 编辑 /etc/fail2ban/jail.local，启用 sshd，设置 bantime/jail 最大尝试次数
sudo systemctl restart fail2ban

验证：sudo fail2ban-client status sshd。该工具能自动阻断重复失败的登录尝试。

6.

应用与证书安全

为网站启用 HTTPS（推荐使用 Let's Encrypt）。示例：

sudo apt install certbot
sudo certbot --nginx -d example.com

配置自动续期：sudo systemctl enable certbot.timer。对数据库绑定本机访问或使用内网IP，并限制外部访问。

7.

手动备份策略：数据与系统盘快照

推荐双层备份：控制台快照 + 文件级备份到 COS。控制台做系统盘快照：控制台 → 快照管理 → 创建快照，或开启“周期快照策略”（例如每日/每周，保留7/30份）。文件级备份示例（备份网站和数据库）：

# 导出 MySQL
mysqldump -u root -p 密码 --databases dbname > /root/backup/dbname_$(date +%F).sql
# 打包
tar czf /root/backup/site_$(date +%F).tar.gz /var/www/html /root/backup/dbname_$(date +%F).sql
# 可选加密
openssl enc -aes-256-cbc -salt -in file.tar.gz -out file.tar.gz.enc -pass pass:你的强口令

8.

自动化备份到 COS（示例脚本与 crontab）

安装并配置 coscmd 或 coscli，创建 config。示例脚本 /usr/local/bin/backup_to_cos.sh：

#!/bin/bash
DATE=$(date +%F)
mkdir -p /root/backup/$DATE
mysqldump -u root -p你的密码 dbname > /root/backup/$DATE/db.sql
tar czf /root/backup/site_$DATE.tar.gz /var/www/html /root/backup/$DATE/db.sql
openssl enc -aes-256-cbc -salt -in /root/backup/site_$DATE.tar.gz -out /root/backup/site_$DATE.tar.gz.enc -pass pass:强口令
coscmd upload /root/backup/site_$DATE.tar.gz.enc bucketname /backups/site_$DATE.tar.gz.enc
# 清理本地超过30天的备份
find /root/backup -type f -mtime +30 -delete

加入 crontab：0 3 * * * /usr/local/bin/backup_to_cos.sh >> /var/log/backup.log 2>&1

9.

恢复与演练步骤（重要）

定期演练恢复：从 COS 下载备份并解密、还原数据库；或使用控制台快照恢复系统盘：

# 从 COS 下载并解密
coscmd download bucketname /backups/site_2026-01-01.tar.gz.enc /tmp/
openssl enc -d -aes-256-cbc -in /tmp/site_2026-01-01.tar.gz.enc -out /tmp/site_2026-01-01.tar.gz -pass pass:强口令
tar xzf /tmp/site_2026-01-01.tar.gz -C /
# 数据库还原
mysql -u root -p 密码 < /root/backup/db.sql

控制台快照恢复：控制台 → 快照 → 选择快照 → 恢复为新实例或重置系统盘。每季度至少做一次全流程恢复演练并记录时间。

10.

日志、监控与告警

开启主机级日志收集（rsyslog）、异常监控（Prometheus/Grafana 或 腾讯云监控）。为关键事件（备份失败、登录异常、磁盘空间）配置邮件或微信告警，确保在第一时间响应。

11.

Q1: 如果我误删了主机文件，如何最快恢复到最近的状态？

A1: 优先用控制台快照恢复：控制台→快照→选择最近快照→恢复到新实例或重置系统盘；若有COS文件级备份，下载并解密备份包，替换丢失文件并重启服务。

12.

Q2: 备份时如何保证数据传输与存储的安全？

A2: 传输使用HTTPS或COS官方工具（带签名），备份包在上传前用openssl进行对称加密（AES-256），并妥善保管加密口令，COS上开启对象锁或版本控制以防误删。

13.

Q3: 如何定期检测原生IP是否被滥用或出现异常流量？

A3: 在控制台启用流量监控与告警，结合 Linux 的 netstat/iftop 和云监控流量图表，发现异常立即在安全组临时封禁来源IP并排查服务日志，必要时切换到备用实例并封停受影响实例。

来源：配置教程腾讯 轻量云 香港 原生 ip的安全设置与备份策略