刚开的服务器该干什么，新服务器首次配置优化教程？

刚开的服务器，核心就四件事：关好门、装好环境、把网站跑起来、做好日常盯防。顺序不能乱，这决定了你后面是省心还是受罪。

新手拿到服务器第一件事：先关掉不安全的门

很多教程上来就让你装宝塔、配Nginx，那是本末倒置，服务器一开机，IP就在公网上裸奔，扫描器几分钟内就会嗅探22端口，安全设置必须放在最前面。

改SSH端口和禁用root密码登录

默认的22端口是暴力破解的重灾区,打开终端，用Xshell或Putty连上服务器，依次执行下面的操作。

• 修改SSH配置文件,这是第一步，命令是vi /etc/ssh/sshd_config。
• 把Port 22改成Port 你自己选的高位端口，比如2233或5522。
• 找到PermitRootLogin，改成no，禁止root直接登录。
• 以后要用管理员权限,用普通用户登录后输入su -或者sudo提权。

改完别急着退出,先重启服务systemctl restart sshd，然后开一个新的SSH连接测试，确认能用新端口登录再断开旧的，否则容易把自己锁在外面。

云安全组规则：很多人忽略的隐形防火墙

如果你用的是酷番云服务器新手指南或简米云的机器,光改系统内的防火墙不够，控制台里的“安全组”是外层的防盗门，也得处理一下。

• 在云厂商控制台找到“安全组”或“防火墙”选项。
• 入站规则,只放行你刚才设置的新SSH端口、80（HTTP）、443（HTTPS）。
• 源地址,SSH端口建议填你本地的公网IP或IP段，别用0.0.0/0对全校开放，这能挡掉绝大多数扫描。

装个Fail2ban防爆破

就算改了端口,也不能完全杜绝尝试，装个Fail2ban让它自动拉黑恶意IP，主流Linux发行版都支持，可以参考以下安装路径。

• Debian/Ubuntu系统：apt install fail2ban -y。
• CentOS/Alinux系统：yum install fail2ban -y。

需要强调的是，默认的配置够用，安装完它自己会启动，它会监控SSH日志，连续试探密码达到阈值就封IP十分钟，很省心。

服务器环境搭建：面板和手动搭配着来

门锁好了,接下来是装修，这里得分情况看你是服务什么用途的，是跑博客、跑商城还是搭个测试环境。

用宝塔还是手动装LAMP/LNMP

这是新手和老手的分水岭,刚开的服务器，用宝塔确实效率高，它自带Nginx、MySQL、PHP，还能一键申请SSL证书，确实很方便，行业共识认为，中小站点使用宝塔面板能节省80%的搭建时间。

但要是你想长期干这行,建议至少手动装一次，熟悉一下LNMP环境的组成，手动安装的流程大致是这几步：

• 更新系统源：apt update或yum update。
• 安装Nginx：apt install nginx。
• 安装PHP及扩展：apt install php-fpm php-mysql。
• 安装MySQL或MariaDB：apt install mysql-server。

手动装能让你清楚配置文件都放在哪里,出了问题知道去哪个路径查日志，用面板虽然简单，但出了问题比较依赖面板自身的文档和社区。

数据库和服务器的时区设置

很多刚开的服务器,默认时区是UTC，比北京时间慢8个小时，这会导致你写的代码取当前时间戳后，日志记录的时间和实际对不上。

• 设置时区命令：timedatectl set-timezone Asia/Shanghai。
• 查看时间是否正常：date -R。

数据库连接字符集一定要设成utf8mb4，现在都是这标准，不然存个emoji表情或者生僻字，会出现乱码的情况，很烦人。

定期备份脚本要趁早挂上

没人愿意在丢数据的时候才后悔,服务器刚装好，系统干干净净，正是做基础镜像备份的好时机。

• 在云厂商控制台做快照，这是服务器系统盘的“后悔药”。
• 平时站点的文件和数据库,写个crontab定时任务，每天凌晨打包丢到OSS或COS存储。

命令路径参考：crontab -e 编辑计划任务，这是最底层的逻辑：数据永远不放在一台服务器上。

把网站跑起来：配置、上线和验证

环境装好了,得让访问者能打开你的页面，这一步涉及域名解析和Nginx站点的具体配置，目标是把服务跑通，并让网站在搜索引擎眼里是健康状态。

域名解析和Nginx配置

先去你的域名服务商那儿,把域名解析到这台服务器的公网IP，然后在Nginx里建立站点配置文件。

• 新建配置文件：vi /etc/nginx/conf.d/你的域名.conf

  

  。

• 基础配置核心项：server_name 填你的域名，root 填网站代码的绝对路径，index 填首页文件。

配置完记得执行nginx -t检查语法，无误后执行nginx -s reload让配置生效，这时候，网站备案是个大问题，如果你是新人第一次接触服务器，国内服务器不备案域名是打不开的，要么用香港服务器先练手，要么老老实实走备案流程走下来。

WordPress和数据库建库命令

如果是跑WordPress,刚开始就要把伪静态规则写好，不然后续会更麻烦，用宝塔的话，直接在站点设置里切换成WordPress伪静态规则。

MySQL建库别偷懒,密码用强密码，执行SQL命令创建独立的库和用户：

CREATE DATABASE wordpress CHARACTER SET utf8mb4;
GRANT ALL ON wordpress. TO 'youruser'@'localhost' IDENTIFIED BY '你的强密码';
FLUSH PRIVILEGES;

上线前的体检清单

这一步很关键,比上线本身还重要，用浏览器打开网站，走一遍几项流程，可以从以下5个维度排查一下。

• 网页访问速度：首屏有没有超过3秒。
• 移动端适配：用手机浏览器看排版有没有错乱。
• HTTP状态码：检查有没有403、404、500之类的报错。
• SSL证书状态：看小锁图标是否正常，有没有过期风险。
• 网站日志输出：Nginx的error.log里有没有刷屏的PHP报错。

服务器日常运维：监视日志和系统资源

跑起来的服务器刚放松下来,日常的细活才刚开始，运维的核心是为了提前发现问题，而不是等用户投诉了才去处理。

日常关注系统的“油箱和水温”

服务器就好比一辆车,得看仪表盘，重点看CPU、内存和带宽。

• 用top命令看实时负载，用free -h看内存剩余量。
• 重点盯swap占用，如果一直很高，说明物理内存不足，给数据库或Web服务加了很大压力。
• 带宽跑满的话,用iftop看看是谁在占用流量，有时候是被人盗刷流量，有时候是爬虫。

分析Nginx访问日志找风险

比看硬件配置更重要的是看懂日志。

• 相关路径参考：/var/log/nginx/access.log，能看到所有访客的访问行为和IP。



• 相关路径参考：/var/log/nginx/error.log，主要看站点代码层面的报错。

每天花几分钟扫一眼error.log，比用第三方监控工具更直观，新手很容易在这里栽跟头，看到错误日志刷屏心里发慌，其实多数是搜索引擎蜘蛛爬取不存在的死链导致的404记录，重点看5xx这种才需要处理。

定时清理系统垃圾和会话文件

系统跑久了,日志文件会变得很大，磁盘空间容易满，服务器就瘫了。

• 设置一个定时任务,删除30天前的旧日志，注意保留最近的有用数据。
• 清理临时目录/tmp下的缓存文件。
• 用df -h查看磁盘使用率，超过80%就要考虑扩容或清理了。

刚开的服务器该做什么：教你避坑的实战建议

最后聊几条经验,这些坑基本是每个站长都会踩一遍的。

地域选择：本地访问速度和备案，怎么平衡

买服务器的时候，国内选地域和国外选地域，决策依据是不同的。 如果你主要服务国内用户，用国内BGP线路或CVM机型，访问速度快，但要备案，如果网站刚上线只想测试功能，或者做外贸站，首选香港地域或硅谷地域，免备案，开机就能绑定域名。

禁用不必要的系统服务

服务器刚开通时,会有很多用不上的系统组件默认在跑，把打印服务、蓝牙服务、邮件服务（sendmail/postfix）这些没用的服务关掉，能减少系统资源占用，也少一些被攻击的入口。

• 查看运行中的服务：systemctl list-units --type=service --state=running。
• 停用不需要的服务操作路径：systemctl disable --now 服务名。

打补丁和更新源

新手常犯的误区是觉得刚装的系统就是最安全的,厂商发布的补丁是在不断修复已知漏洞的，即使刚开完服务器，也要先执行一遍升级命令，让系统内核和软件包处于最新状态，跑个小内存机器，处理这一套下来，会让服务器比默认状态安全不少。

行业共识是：没有任何防护的裸奔服务器，存活期通常不超过24小时就会中招，只要你按照这个顺序来，把上面这些步骤走一遍，一台刚开的服务器才算真正能安心跑业务，核心思路就一条：先安防，再搭台，后建站，勤打理。