企业官网的服务器安全，从来不是“装个防火墙就完事”的静态工程。作为赤壁市赵李桥镇振兴网络科技店的技术编辑，我见过太多站点因为一个被忽略的SSH弱口令或过期的TLS证书而沦为肉鸡。今天不谈空泛的“安全意识”，只拆解几个能落地的配置动作与维护节奏。

先从握手环节说起：SSH与端口策略

大多数攻击流量都集中在22端口和443端口。若你的服务器仍开着默认的22端口且允许root直接登录，那无异于把大门钥匙挂在锁孔上。实操中，我们建议将SSH端口改为高位随机端口（如48213），并禁用密码登录、只保留密钥认证。同时，用`fail2ban`监控连续失败尝试——它能自动封禁IP，实测可将暴力破解尝试降低约97%。

别忘了修改`/etc/ssh/sshd_config`中的`MaxAuthTries`为3，配合`AllowUsers`白名单，双管齐下。这些配置改动虽小，但对赤壁市赵李桥镇振兴网络科技店服务的众多中小型企业站点而言，是性价比最高的第一道闸门。

Web层防护：不只是WAF的事

很多人迷信云WAF，却忽略了Nginx或Apache自身的加固。比如隐藏`ServerTokens`版本号、禁用不必要的模块（如`mod_info`）、限制`request_body_size`为2M——这能直接挡住大量畸形POST请求。更关键的是，务必为PHP设置`open_basedir`，将文件读写权限锁死在站点目录内。我们曾对比过两组测试站：未配置open_basedir的站点在扫描工具下暴露了7个可写目录，而配置后仅剩1个且无敏感文件。

另外，定期检查Web日志中的`401`与`403`状态码频率。如果某IP在10分钟内触发超过50次403，基本可以判定为扫描器。写个简单的cron脚本，将这些IP直接iptables drop，比任何付费防护都来得干脆。

证书与备份：两件“平时不管、出事要命”的事

HTTPS证书的自动续期常被忽视。很多站长用的Let's Encrypt证书是90天有效期，一旦续期脚本因Python版本升级而失效，网站会瞬间退回http明文传输。建议用`certbot renew --dry-run`做定时演练，并将失败告警接入企业微信或钉钉机器人。数据备份则遵循3-2-1原则：本地一份、异地一份、离线一份。针对数据库，我们用`xtrabackup`做物理备份，恢复速度比逻辑备份快4倍以上——对日增百MB数据量的站点，这差距就是半小时和十秒的区别。

最后提一条容易被忽略的基线：每季度至少做一次全量漏洞扫描，用OpenVAS或Nessus免费版足矣。扫描结果中若出现“SSL Self-Signed Certificate”或“TLS 1.0 Enabled”这类中危项，务必在两周内修复。赤壁市赵李桥镇振兴网络科技店在维护客户服务器时，会将这些扫描报告存档，形成每个季度的安全趋势对比——你会发现，攻击尝试次数虽在涨，但有效突破率在稳步下降。

服务器安全是一场持久战，没有一劳永逸的银弹。但把上述要点逐项落地，你的站点至少能挡住90%的“自动化垃圾流量”。下次登录服务器时，不妨先看一眼`lastb`输出——那些被拒之门外的IP列表，就是安全配置最好的勋章。