Linux 新服务器初始化完全指南：从零到生产就绪（通用教程）

1. 系统更新：打好地基

拿到新服务器的第一件事——不是装软件，而是先把系统包更新到最新。

apt update -y && apt upgrade -y

apt update 刷新软件包索引，apt upgrade 把已安装的包升级到最新版本。-y 跳过交互式确认——新服务器没有需要评估的依赖冲突，直接跑。

2. 创建日常操作用户

Root 直接操作是安全禁忌。创建一个具备 sudo 权限的普通用户，日常操作全都用它。

2.1 创建用户并设置密码

# 创建用户（-m 自动创建 home 目录）
useradd -m -s /bin/bash vpsdeck

# 设置密码
passwd vpsdeck

2.2 赋予 sudo 权限

# 将用户加入 sudo 组（Debian/Ubuntu 默认有这个组）
usermod -aG sudo vpsdeck

2.3 可选：免密 sudo

每次 sudo 都输密码会打断操作流。个人独享的服务器可以开免密：

echo "vpsdeck ALL=(ALL) NOPASSWD: ALL" | tee /etc/sudoers.d/vpsdeck
chmod 440 /etc/sudoers.d/vpsdeck

3. SSH 安全加固

SSH 是服务器安全的第一道门。默认配置——22 端口 + 密码登录 + root 允许——等于开着门等人来踹。

3.1 修改 SSH 端口

全网 22 端口的自动化扫描脚本每秒都在跑。换到高位端口，能过滤掉 99% 的噪音。

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 修改端口（以 9527 为例）
sed -i 's/^#Port 22/Port 9527/' /etc/ssh/sshd_config

为什么是 9527？这是周星驰电影《唐伯虎点秋香》里唐伯虎在华府的编号——华府低等下人 9527。星爷粉丝看到会心一笑，攻击者扫描列表里大概率没有这个端口。

3.2 禁止 Root 直接登录

sed -i 's/^#PermitRootLogin prohibit-password/PermitRootLogin no/' /etc/ssh/sshd_config

等效操作：直接编辑 /etc/ssh/sshd_config，找到 PermitRootLogin 行改为 no。

3.3 禁用密码登录，只用密钥

sed -i 's/^#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config

执行之后，所有 SSH 登录只能通过密钥完成——即便有人猜到你的密码，也无法登录。

3.4 生成 ed25519 密钥对（含 Windows / Linux 详细教程）

密钥生成在你自己的电脑上执行，不是服务器上。

下面是针对不同操作系统的详细步骤。很多 Windows 用户卡在这一步——2026 年了，Windows 10/11 已经内置 OpenSSH，不需要装 PuTTYgen。

Windows 10/11 用户

Windows 10（1809+）和 Windows 11 已内置 OpenSSH 客户端。你不需要下载任何软件。

第一步：确认 OpenSSH 已安装

打开 PowerShell（在开始菜单搜索 “PowerShell”），运行：

Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH.Client*'

输出中 State : Installed 表示已安装。如果不是，通过以下方式安装：

• 方法 A（GUI）：设置 → 应用 → 可选功能 → 添加功能 → 搜索 “OpenSSH 客户端” → 安装
• 方法 B（PowerShell 管理员）：
  Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0

第二步：生成密钥

打开 PowerShell 或 命令提示符（CMD） ——两个终端都能用，效果一样：

ssh-keygen -t ed25519 -C "vpsdeck@myserver" -f "$env:USERPROFILE\.ssh\vpsdeck_ed25519"

执行后会提示你输入 passphrase（密码短语）。这是一个二次保护——即使私钥文件泄露，没有 passphrase 也无法使用。输入两次后密钥就生成了。

密钥文件位置（在文件资源管理器地址栏粘贴以下路径即可直达）：

%USERPROFILE%\.ssh\

你会看到两个新文件：

Windows 用户的常见问题：

Linux / macOS 用户

打开终端：

ssh-keygen -t ed25519 -C "vpsdeck@myserver" -f ~/.ssh/vpsdeck_ed25519

按提示输入 passphrase（可选但推荐），两次回车后密钥生成完毕。

验证生成的文件：

ls -la ~/.ssh/vpsdeck_ed25519*
# 输出：
# -rw-------  1 you  staff  419 Jul 16 12:00 vpsdeck_ed25519
# -rw-r--r--  1 you  staff  102 Jul 16 12:00 vpsdeck_ed25519.pub

为什么不建议用 PuTTYgen？

PuTTYgen 生成的 .ppk 格式是 PuTTY 私有的，其他工具不认识。Windows 自带的 OpenSSH 生成的密钥是标准 OpenSSH 格式，可以用在任何地方——VS Code 远程开发、Git SSH、SCP 文件传输。2026 年了，用标准格式是对自己负责。

3.5 把公钥上传到服务器

Windows 用户

打开 PowerShell，用 scp 上传公钥（Windows 10 1809+ 已内置 scp）：

scp -P 22 "$env:USERPROFILE\.ssh\vpsdeck_ed25519.pub" root@<服务器IP>:~/

然后 SSH 登录服务器，手动追加：

mkdir -p ~/.ssh
cat ~/vpsdeck_ed25519.pub >> ~/.ssh/authorized_keys
rm ~/vpsdeck_ed25519.pub

或者直接用 ssh-copy-id（需要在 PowerShell 中安装，或者用 Git Bash）：

ssh-copy-id -i ~/.ssh/vpsdeck_ed25519.pub -p 22 root@<服务器IP>

Linux / macOS 用户

ssh-copy-id -i ~/.ssh/vpsdeck_ed25519.pub root@<服务器IP>

如果 ssh-copy-id 不可用，手动操作：

# 在你自己电脑上查看公钥
cat ~/.ssh/vpsdeck_ed25519.pub

# SSH 登录服务器后
mkdir -p ~/.ssh
echo "ssh-ed25519 AAAAC3NzaC1lZDI1..." >> ~/.ssh/authorized_keys

3.6 配置 SSH 客户端快捷连接

在你的电脑上创建 ~/.ssh/config（Windows：%USERPROFILE%\.ssh\config）：

Host myserver
    HostName <服务器IP>
    Port 9527
    User vpsdeck
    IdentityFile ~/.ssh/vpsdeck_ed25519

之后只需 ssh myserver 就能登录。

3.7 RSA vs ed25519：为什么选后者

两种算法我都在生产环境用过。以下是真实对比：

3.8 ~/.ssh 目录与文件权限

SSH 对权限极其苛刻。错一个数字，密钥登录就静默失败——日志里还不一定写原因。

快速修复脚本：

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys ~/.ssh/id_ed25519 ~/.ssh/config
chmod 644 ~/.ssh/id_ed25519.pub ~/.ssh/known_hosts

3.9 authorized_keys vs known_hosts vs config

新手容易混淆这三个文件。用一个表格说清楚：

实际工作流：

你电脑上的 config → 指定用哪个私钥 → 私钥匹配服务器上的 authorized_keys → 登录成功
你电脑上的 known_hosts → 验证服务器主机指纹 → 防止连接伪造的服务器

3.10 重启 SSH 服务使配置生效

systemctl restart sshd
# 或（Ubuntu/Debian 新版）
systemctl restart ssh

4. 更换国内镜像源（中国大陆服务器专属）

4.1 什么时候需要换源

4.2 更换为中国科学技术大学（USTC）镜像

我推荐优先使用中科大镜像，而非清华 TUNA。理由很直接：

中科大 LUG（Linux User Group）维护的镜像站从 2002 年开始服务，是中国大陆历史最悠久的开源镜像站之一。Debian 官方将 USTC 列为 全球官方备份镜像 之一。

# 1. 备份原始源文件
cp /etc/apt/sources.list /etc/apt/sources.list.bak

# 2. 写入中科大镜像源（Debian 13 Trixie）
cat > /etc/apt/sources.list << 'EOF'
deb https://mirrors.ustc.edu.cn/debian/ trixie main contrib non-free non-free-firmware
deb https://mirrors.ustc.edu.cn/debian/ trixie-updates main contrib non-free non-free-firmware
deb https://mirrors.ustc.edu.cn/debian/ trixie-backports main contrib non-free non-free-firmware
deb https://mirrors.ustc.edu.cn/debian-security/ trixie-security main contrib non-free non-free-firmware
EOF

# 3. 更新软件包索引
apt update

Ubuntu 用户：只需将 URL 中的 debian 改为 ubuntu，trixie 改为你的 Ubuntu 版本代号（如 noble、jammy）：

sudo sed -i 's|http://.*archive.ubuntu.com|https://mirrors.ustc.edu.cn|g' /etc/apt/sources.list
sudo apt update

4.3 其他国内镜像选择

# 用 netselect-apt 自动选最快的源
apt install netselect-apt -y
netselect-apt -n trixie

5. 修改时区与 NTP 时间同步

时区和时间准确性直接影响日志排查、证书验证和分布式系统一致性。新服务器默认时区通常是 UTC（Etc/UTC），凌晨三点日志显示为 03:00——不符合国内运维人员的阅读习惯。

5.1 修改时区为上海

# Debian / Ubuntu 通用方法
timedatectl set-timezone Asia/Shanghai

# 验证
timedatectl

输出应显示 Time zone: Asia/Shanghai (CST, +0800)。

5.2 配置 NTP 时间同步

Linux 内核时钟在虚拟机环境下漂移严重——KVM/Xen 虚拟机的时钟漂移通常达到每天 1-5 秒。长期不校准会导致：

• SSL/TLS 证书验证失败（时间偏差超过证书有效期窗口）
• 日志时间线错乱，无法关联多台服务器的事件
• Docker/K8s 节点 token expired 错误

Debian 13 / Ubuntu 24.04 默认使用 systemd-timesyncd 作为 NTP 客户端。我们将其指向中科大 NTP 服务器：

# 1. 编辑 timesyncd 配置
cat > /etc/systemd/timesyncd.conf << 'EOF'
[Time]
NTP=time.ustc.edu.cn ntp.aliyun.com
FallbackNTP=ntp.ubuntu.com
EOF

# 2. 重启服务并启用
systemctl restart systemd-timesyncd
systemctl enable systemd-timesyncd

# 3. 查看同步状态
timedatectl timesync-status

输出示例：

Server: 202.141.160.2 (time.ustc.edu.cn)
Poll interval: 34min 8s
Leap: normal
Offset: +0.000123s

Offset 在毫秒级别即为正常工作。

6. 开启 TCP BBR 拥塞控制

6.1 先理解：Linux 拥塞控制算法全景

Linux 内核支持多种 TCP 拥塞控制算法，可以通过 sysctl net.ipv4.tcp_available_congestion_control 查看当前内核支持的全部列表。

主流算法分三大类：

6.2 算法横向对比

6.3 为什么 VPS 场景推荐 BBR

6.4 开启 BBR + fq 队列

BBR 必须搭配 fq（Fair Queuing）队列调度算法使用。fq 负责做 pacing（流量整形）——没有它，BBR 的带宽探测逻辑无法正常工作。

# 1. 加载 BBR 内核模块
modprobe tcp_bbr

# 2. 写入 sysctl 配置
cat >> /etc/sysctl.conf << 'EOF'

# TCP BBR 拥塞控制 + fq 队列
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr
EOF

# 3. 应用配置
sysctl -p

# 4. 验证（输出应为 bbr）
sysctl net.ipv4.tcp_congestion_control

验证 BBR 已生效——输出应为 bbr：

sysctl net.ipv4.tcp_congestion_control
# net.ipv4.tcp_congestion_control = bbr

# 验证 fq 队列已启用
tc -s qdisc show | grep fq
# qdisc fq 8004: dev eth0 root refcnt 2 ...

7. 开启 IPv4 转发

如果你需要在服务器上运行 Docker、Kubernetes、或者做 VPN/代理服务，IPv4 转发必须开启。内核默认是关闭的。

# 1. 临时开启（立即生效）
echo 1 > /proc/sys/net/ipv4/ip_forward

# 2. 永久生效
sed -i 's/^#net.ipv4.ip_forward=1/net.ipv4.ip_forward=1/' /etc/sysctl.conf
sysctl -p

# 3. 验证（输出应为 1）
cat /proc/sys/net/ipv4/ip_forward

8. 收尾：重启验证

所有配置改完后，重启服务器确认所有改动在重启后仍然生效：

reboot

重启后用新端口 + 新用户 + 密钥重新登录，验证以下几项：

推荐阅读

• 🔒 Fail2ban 部署指南 — 自动封禁恶意 IP，防御 SSH 爆破
• 📄 Nginx 第 1 期：源码编译安装 — FHS 规范、configure 参数解析、平滑升级
• 🌐 中国三大运营商精品线路指南 — CN2 GIA / 9929 / CMIN2 一篇搞懂
• 🖥️ RustDesk Server 自建教程 — 自建远程桌面，不上传数据到第三方