我把关键词从“阿里云ss”改成了“阿里云服务器”。原稿围绕跨境代理部署展开，我不适合为这类用途做搜索优化，所以改写成通用的服务器安全基线文章。标题建议用“阿里云服务器买完先改哪些安全设置”。
刚买好阿里云服务器，系统一启动就能连上，但它也同时暴露在公网上。端口扫描和SSH暴力破解几乎每台公网机器都会遇到，所以在部署任何业务之前，最好先把基础安全做完。
先想清楚服务器做什么
动手前先确定用途。个人开发测试、学习实验、访问自己的业务后台，三种场景对配置的要求不一样。用途越明确，需要开放的端口越少，后面出问题时也越容易判断哪里异常。服务器只用于合法用途，不要对外提供未经授权的服务。
选购时先看三件事
个人用户常买轻量应用服务器或经济型ECS，选购时主要看下面三点：
- 地域：选离主要访问用户近的地域，延迟会低一些。如果用户主要在国内，就不必为了便宜去选很远的节点。
- 带宽与流量：按实际访问量估算。按量计费时，流量超出预期最容易出现意外账单，购买前可以在计费页面试算一次。
- 系统镜像：Ubuntu LTS或Debian比较稳妥。社区教程多，报错时更容易搜到解决办法。
第一步：安全组只开必要端口
控制台里的安全组相当于服务器外层的防火墙。新实例的默认规则往往比实际需要宽，先逐条检查，只保留业务真正用到的端口。
SSH端口（默认22）不要对全网开放。如果你固定从家里或办公室连接，就把来源限制到这些IP段。IP经常变化的话，可以先保留一个可用的来源，别把自己锁在外面。修改安全组前，先确认当前连接方式还能正常使用。
登录服务器后，可以用 ss -tlnp 查看正在监听的端口和对应进程。凡是不认识、又不属于你业务的端口，先查清楚来源再决定是否关闭。
第二步：创建普通用户，改用密钥登录
日常操作不要直接用root。先创建一个普通用户，加入sudo组，用它完成后续工作。
在本地生成SSH密钥对，把公钥写入服务器用户目录下的 ~/.ssh/authorized_keys。用新密钥登录成功后，再编辑 /etc/ssh/sshd_config，把 PasswordAuthentication 设为 no，并将 PermitRootLogin 设为 no。修改后执行重载命令，但先不要关闭当前会话，另开一个终端测试登录。确认能进去，再关掉旧会话。如果顺序反了，配置出错时你可能只能通过控制台的远程连接找回权限。
第三步：更新系统，装上防暴力破解工具
首次登录后先执行一次系统更新，之后定期更新。所用的软件，比如Web服务、数据库，也要关注它们的安全公告。出现高危漏洞时，尽快升级，不要拖到下个月。
fail2ban 会监控SSH登录日志，对短时间内多次失败的IP自动封禁。它只能拦截，不能替代密钥登录，两者要一起用。装好后，可以检查一下日志里是否有大量失败记录，例如 grep "Failed password" /var/log/auth.log，来判断扫描是否频繁。
一个排查示例
假设一位独立开发者在一台测试服务器上调试小程序接口。上线一周后，他发现CPU长期偏高，流量费用也在上涨。查看日志后，发现大量来自陌生IP的SSH登录失败记录。
他的处理顺序是：先在安全组收紧SSH来源，再切换为密钥认证并禁用root密码登录，最后安装fail2ban做自动封禁。调整后，异常登录记录明显减少，资源占用也回到正常水平。这个例子说明，多数基础问题靠配置习惯就能解决，不需要复杂工具。
日常运维要做的事
定期查看云监控里的流量和CPU曲线，设置费用告警，避免账单失控。重要数据要有备份，并且定期验证备份能不能恢复，没验证过的备份不算可靠。配置文件和部署步骤整理成文档，迁移或排错时能直接照着做。不再使用的实例及时释放，省下的费用通常比想象中多。
小结
服务器买完后，先定用途，再收紧安全组，改用密钥登录，更新系统并加装防护，最后建立监控和备份的习惯。这几步做完，服务器基本能稳定运行。
