服务器安全加固小结
接部署和HTTPS两篇。站点能访问、也有证书之后，又做了一轮暴露面收敛。以下只记做法和取舍，不写具体环境信息。
网络边界
云安全组按「实际有服务在监听」逐条核对，删掉一批历史遗留、没有对应服务的放行规则，最后只保留 Web 与远程管理必需的入口。原则是安全组规则和主机监听端口一一对应，不留空门。
服务面
同机此前还跑着另一套业务，这轮把它停掉，只保留静态站，对应的站点配置也一并停用。另外给默认虚拟主机加了一个直接断连的兜底，避免按 IP 访问的扫描请求落到博客上；顺手让 Web 服务器不再回显版本号。
停的是服务，不是删数据：容器、镜像、数据卷和配置文件都保留，随时可以恢复。
登录入口
- 关闭密码认证，只允许密钥登录
- 禁止直接用超级管理员账号远程登录，改用普通用户加 sudo
- 给私钥加口令，交给系统钥匙串托管，避免每次手输
- 本机连接配置同步切换到新用户
兜底与回滚
确认云控制台的本地终端登录可用——它走宿主机控制台，不受 SSH 配置影响，所以能在 SSH 改错时当兜底。关键配置改动前都留了备份，并确认了安全更新和主要服务的开机自启。
一个取舍
因为经常在公司内网、住处 WiFi 和有线网络之间切换，出口 IP 不固定，所以没有把远程管理端口限制到某个固定 IP：那样一换网络就会把自己锁在外面。改为靠「只认带口令的密钥」守住入口。
安全不是一次开关，而是按层把暴露面收窄，同时给每层留一条能退回来的路。