阿里云服务器初始配置与SSH安全设置指南

1. 新购阿里云服务器基础配置指南作为一名运维工程师每次拿到一台全新的阿里云服务器都需要进行一系列基础配置才能让它真正可用。今天我就以Alibaba Cloud Linux 3.2104 LTS 64位容器优化版为例详细记录从零开始的配置全过程包含多个容易踩坑的细节。1.1 准备工作在开始之前你需要确保已经购买阿里云ECS实例并选择了Alibaba Cloud Linux 3.2104 LTS 64位容器优化版准备一个SSH客户端工具我使用的是堡塔多机管理程序知道如何访问阿里云控制台提示新购服务器的root账户默认没有密码首次登录必须通过Workbench完成2. 初始登录与密码设置2.1 通过Workbench首次连接由于新服务器没有设置root密码我们需要通过阿里云控制台的Workbench功能进行初始连接登录阿里云控制台进入ECS实例列表找到目标实例点击右侧远程连接按钮在弹出的窗口中选择Workbench远程连接点击立即登录即可进入终端界面2.2 修改root密码成功登录后第一件事就是为root账户设置密码passwd root系统会提示你输入两次新密码。建议设置一个强密码包含大小写字母、数字和特殊字符。2.3 验证密码登录修改密码后理论上应该可以通过SSH客户端使用密码登录了。但如果遇到连接失败可能是以下原因SSH服务未启动但Alibaba Cloud Linux默认是启动的安全组未放行22端口SSH配置不允许密码登录3. 安全组与SSH配置3.1 检查安全组设置阿里云的安全组相当于虚拟防火墙需要确保22端口对您的IP开放进入ECS实例详情页点击安全组标签检查入方向规则是否有22端口的放行规则默认情况下阿里云的安全组会放行所有IP访问22端口0.0.0.0/0但如果你修改过安全组规则可能需要手动添加。3.2 配置SSH服务为了让root能通过密码登录SSH需要修改SSH配置# 首先备份原始配置文件 sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak # 使用sed命令修改关键参数 sudo sed -i s/^#*PermitRootLogin.*/PermitRootLogin yes/;s/^#*PasswordAuthentication.*/PasswordAuthentication yes/ /etc/ssh/sshd_config # 重启SSH服务 sudo systemctl restart sshd这条命令做了三件事备份原始配置文件确保PermitRootLogin和PasswordAuthentication都设置为yes重启SSH服务使配置生效注意生产环境中不建议长期允许root直接登录建议配置完成后创建普通用户并配置sudo权限4. SFTP服务配置4.1 基础检查首先确认SSH服务正常运行sudo systemctl status sshd如果服务未运行需要先启动sudo systemctl start sshd4.2 创建专用SFTP用户为了安全考虑建议为SFTP创建专用用户# 创建用户组 sudo groupadd sftpgroup # 创建用户并禁止shell登录 sudo useradd -g sftpgroup -s /sbin/nologin sftpuser # 设置用户密码 sudo passwd sftpuser4.3 配置SFTP目录结构# 创建根目录我习惯放在/mnt下 sudo mkdir -p /mnt/sftp # 设置根目录权限 sudo chown root:root /mnt/sftp sudo chmod 755 /mnt/sftp # 创建上传目录 sudo mkdir -p /mnt/sftp/uploads sudo chmod 755 /mnt/sftp/uploads sudo chown sftpuser:sftpgroup /mnt/sftp/uploads重要根目录(/mnt/sftp)的所有者必须是root否则SFTP会无法工作4.4 修改SSH配置编辑/etc/ssh/sshd_config文件sudo vim /etc/ssh/sshd_config找到并修改以下内容# 注释掉原来的Subsystem行如果存在 #Subsystem sftp /usr/libexec/openssh/sftp-server # 添加新的Subsystem配置 Subsystem sftp internal-sftp # 在文件末尾添加SFTP限制配置 Match Group sftpgroup ChrootDirectory /mnt/sftp ForceCommand internal-sftp X11Forwarding no AllowTcpForwarding no注意缩进格式建议使用4个空格或1个tab。4.5 重启SSH服务sudo systemctl restart sshd如果重启失败可以尝试先停止再启动sudo systemctl stop sshd sudo systemctl start sshd4.6 验证SFTP连接使用SFTP客户端连接测试sftp sftpuser服务器IP或者使用图形化工具如FileZilla进行测试。5. 常见问题排查5.1 SSH连接失败可能原因及解决方案安全组未放行22端口 → 检查安全组规则SSH服务未运行 → systemctl status sshd检查状态防火墙拦截 → 检查iptables或firewalld配置PermitRootLogin或PasswordAuthentication未正确设置 → 检查sshd_config5.2 SFTP连接失败常见错误Connection closed → 检查ChrootDirectory权限必须为root所有Permission denied → 检查上传目录权限用户需要有读写权限Couldnt read packet → 检查Match Group配置的缩进格式5.3 其他注意事项目录权限问题ChrootDirectory及其所有上级目录都必须为root所有且其他用户不可写日志查看/var/log/secure中包含SSH/SFTP的认证日志连接超时可能是网络问题检查实例带宽和客户端网络6. 安全加固建议完成基础配置后建议进行以下安全加固修改SSH端口将22端口改为其他高端口1024-65535配置fail2ban防止暴力破解设置SSH密钥登录比密码更安全配置iptables/firewalld限制访问IP定期更新系统yum update -y这些配置虽然基础但却是服务器安全稳定运行的基石。我在实际运维中遇到过无数次因为基础配置不当导致的问题希望这篇指南能帮你避开这些坑。