服务器综合安全加固需五环闭环：SSH强制Ed25519密钥认证并禁用密码登录；安全组仅放行堡垒机IP及端口；账号按最小权限原则创建与授权；所有访问经堡垒机中转并全程录像；MFA强制用于堡垒机登录及关键sudo操作。
服务器综合安全加固不是堆砌功能，而是让 SSH 接入、安全组、最小权限、堡垒机和多因素认证彼此咬合、层层递进——每一道防线都补上上一道的短板，形成闭环。
SSH 接入：只留一条“加密通道”，不设“密码门”
SSH 是唯一远程入口，必须从协议层掐断弱防护可能：
- 禁用所有密码类认证：
PasswordAuthentication no、PermitEmptyPasswords no、ChallengeResponseAuthentication no - 强制使用 Ed25519 密钥（非 RSA-2048），密钥需带注释且私钥本地加口令保护
- 关闭危险功能：
X11Forwarding no、AllowTcpForwarding no、GatewayPorts no - 启用细粒度会话控制：
ClientAliveInterval 300+ClientAliveCountMax 2，超时自动断连 - 日志级别调为
VERBOSE，确保登录用户、密钥指纹、源 IP 全量记录
安全组：网络层“物理围墙”，只对可信源头开缝
安全组是第一道网络过滤器，它不信任任何“内部”说法，只认 IP 和端口：
- 公网服务器：安全组 默认拒绝所有入向，仅放行堡垒机出口 IP（或跳板机段）的自定义端口（如 2222）
- 内网服务器：限制为业务网段 + 运维网段双白名单，禁止跨网段直连
- 禁止开放 22 端口给全网；若无堡垒机，至少限定为运维办公 IP 段（如 10.10.5.0/24）
- 出向策略也收紧：禁止服务器主动连接外网高危端口（如 25、445、3389）
最小权限：账号即身份，权限即契约
每个账号不是“能干啥”，而是“只准干啥”：
- 禁用
root登录后，为每位运维人员创建独立账号（UID 非 0），禁用 shell（/usr/sbin/nologin）用于仅 SFTP 场景 -
sudo权限走visudo精确授权，例如：alice ALL=(ALL) NOPASSWD: /bin/systemctl start nginx, /usr/bin/journalctl -u nginx - 删除或锁定无用系统账号（
sync、games、ftp）：usermod -L -s /usr/sbin/nologin sync - 敏感目录（
/etc/shadow、/root、/var/log/audit）设置不可写、不可执行，必要时启用chattr +i
堡垒机：操作“唯一闸口”，人、事、时、地全绑定
堡垒机不是替代 SSH，而是接管 SSH 的“调度权”与“录像权”：
- 所有 SSH 访问必须经由堡垒机中转，服务器本身 不暴露任何 SSH 端口给终端用户
- 堡垒机启用 RBAC：按角色分配资产、命令、时间窗（如 DBA 只能在 20:00–02:00 访问数据库服务器）
- 会话全程录像（字符流+操作时长+键盘击键），支持关键词检索（如 “rm -rf”、“DROP TABLE”）
- 命令白名单机制：禁止执行
su -、ssh、curl http://等高危命令，或自动审批拦截
多因素认证（MFA）：在“身份确认”环节加一道活体锁
MFA 不是锦上添花，而是堵住密钥丢失或被盗后的最后一道缺口：
- 堡垒机登录强制 MFA（TOTP 或硬件令牌），不接受短信（易被 SIM 劫持）
- SSH 层可叠加 PAM-MFA（如
libpam-google-authenticator），配置为：AuthenticationMethods publickey,keyboard-interactive - 关键 sudo 操作二次验证（如重启核心服务、修改防火墙规则），触发 MFA 弹窗或扫码确认
- MFA 备份码离线保管，不存服务器、不传聊天工具
这五环不是并列关系，而是链式依赖：安全组筛掉 95% 扫描流量 → 堡垒机收口统一认证与审计 → SSH 只响应堡垒机来的密钥请求 → 每个密钥背后是实名账号 → 每个账号只拥有完成任务的最小指令集。加固的关键不在“做了多少”，而在“断点是否闭环”。
