Ubuntu 22.04/24.04 LTS 服务器初始化安装与安全加固指南

结论先行：Ubuntu LTS 是主流云厂商默认预装率最高的 Linux 发行版，但出厂默认镜像包含大量后台自动任务与交互式机制。若直接上线，容易遭遇 needrestart 锁死自动化脚本、Snap 占用内存与 Loop 设备、以及 Canonical 广告提示刷屏等问题。必须在开箱第一时间完成三大核心任务：关闭交互式更新弹窗并精简后台后台服务、配置独立的 Sudo 账号与 Ed25519 密钥认证、通过 Netplan、UFW 防火墙与 BBR 构建高性能防御基线。

0、Ubuntu 与 Debian 的生产运维差异

Ubuntu 基于 Debian 不稳定分支（Sid）衍生，但在运维习惯上与 Debian 存在明显不同：

维度	Debian 12 (Bookworm)	Ubuntu 22.04 / 24.04 LTS	生产运维应对建议
网络配置体系	/etc/network/interfaces	/etc/netplan/*.yaml	Ubuntu 必须使用 Netplan YAML 格式修改静态 IP 与 DNS
包更新机制	传统 apt，更新提示温和	预装 needrestart，弹窗打断批量脚本	初始化必须将 needrestart 改为自动批处理模式
软件格式	纯 APT / Deb，提倡轻量	深度集成 Snap，开机挂载大量 loop 设备	生产服务器若无特需，可停用 snapd 节省内存与磁盘
DNS 解析	/etc/resolv.conf 直连	systemd-resolved 本地 stub 监听 (127.0.0.53)	排查 DNS 问题需通过 resolvectl status 查询真实上游
商业提示	纯开源无推广	登录 MOTD 默认注入 Ubuntu Pro / ESM 广告	清理 /etc/update-motd.d/ 保持终端纯净

---

1、开箱急救：屏蔽交互弹窗与系统瘦身

在全新的 Ubuntu 实例上执行 apt upgrade 时，常被粉紫色的全屏 needrestart 交互界面卡住，导致自动化脚本无法继续执行。

1.1 禁用 needrestart 交互式弹窗

执行以下指令，配置 needrestart 在内核或库更新后自动在后台重启服务，不再阻断终端会话：

# 强制设定 needrestart 模式为自动重启守护进程 (a) 或仅列出 (l)
sudo sed -i "s/#\$nrconf{restart} = 'i';/\$nrconf{restart} = 'a';/g" /etc/needrestart/needrestart.conf

# 针对 apt 层面统一设置非交互环境变量
echo 'DEBIAN_FRONTEND="noninteractive"' | sudo tee -a /etc/environment

1.2 清理 Ubuntu MOTD 登录广告与无用提示

每次通过 SSH 登录 Ubuntu 时，系统都会输出很长的一段推广文字，不仅降低连接效率，还会干扰日志捕获。通过调整权限即可将其关闭：

# 禁用推广性 MOTD 脚本
sudo chmod -x /etc/update-motd.d/10-help-text 2>/dev/null || true
sudo chmod -x /etc/update-motd.d/50-motd-news 2>/dev/null || true
sudo chmod -x /etc/update-motd.d/88-esm-announce 2>/dev/null || true
sudo chmod -x /etc/update-motd.d/91-contract-ua-esm-status 2>/dev/null || true

# 关闭 Canonical 商业消息后台轮询服务
sudo systemctl disable --now motd-news.timer 2>/dev/null || true

1.3 评估并停用 Snap 守护进程（可选但推荐）

在 1GB 或 2GB 内存的小型 VPS 上，snapd 会常驻消耗 150MB 以上内存，且会在 df -h 中产生大量 /dev/loopX 虚拟块设备挂载，增加排查难度。对于跑后端 API 或 Docker 的纯服务端，可完整卸载 Snap：

# 检查是否安装了 snap 软件包
snap list

# 移除自带包并卸载 snapd 守护进程
sudo snap remove --purge lxd core20 snapd 2>/dev/null || true
sudo apt purge snapd -y
sudo rm -rf /root/snap /home/*/snap /var/cache/snapd/

# 阻止 apt 再次自动拉取 snapd
sudo tee /etc/apt/preferences.d/nosnap.pref << 'EOF'
Package: snapd
Pin: release a=*
Pin-Priority: -10
EOF

---

2、系统全量更新与基础工具整备

完成基础清理后，开始同步 Ubuntu 官方安全补丁并安装基础排障套件。

# 更新源并执行完整升级
sudo apt update && sudo apt full-upgrade -y

# 安装常用生产工具
sudo apt install -y \
  curl wget git vim tmux htop iotop \
  net-tools dnsutils ufw fail2ban \
  chrony ca-certificates gnupg jq

# 清理安装缓存
sudo apt autoremove -y && sudo apt autoclean

时钟同步对于分布式服务、JWT Token 校验与数据库主从同步具有决定性作用。通过 chrony 保证服务器时钟精度：

# 设置时区为亚洲/上海或 UTC
sudo timedatectl set-timezone Asia/Shanghai

# 确保 chrony 正常同步
sudo systemctl enable --now chrony
chronyc tracking

---

3、系统分层安全加固矩阵

加固流程遵循“外防扫描、内做隔离、自动巡检”的分层防御策略：

---

4、账户权限隔离与 SSH 密钥认证加固

4.1 创建低权限运维账号并配置 Sudo

# 创建独立管理用户
sudo adduser --gecos "" ittinker

# 加入 sudo 特权管理组
sudo usermod -aG sudo ittinker

4.2 配置 Ed25519 密钥认证

在本地工作机生成密钥对（已有时可复用）：

ssh-keygen -t ed25519 -C "admin@ittinker.com" -f ~/.ssh/id_ed25519_ubuntu

在 Ubuntu 服务器上导入公钥并设置属主与权限：

sudo -u ittinker mkdir -p /home/ittinker/.ssh
sudo -u ittinker touch /home/ittinker/.ssh/authorized_keys

# 将本地公钥追加至 authorized_keys
echo "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI... admin@ittinker.com" | sudo -u ittinker tee -a /home/ittinker/.ssh/authorized_keys > /dev/null

# 锁定权限体系
sudo chmod 700 /home/ittinker/.ssh
sudo chmod 600 /home/ittinker/.ssh/authorized_keys
sudo chown -R ittinker:ittinker /home/ittinker/.ssh

4.3 强化 SSHD 守护进程配置

Ubuntu 22.04 与 24.04 默认使用 /etc/ssh/sshd_config.d/ 目录加载独立片段，创建 /etc/ssh/sshd_config.d/60-production-hardening.conf：

sudo tee /etc/ssh/sshd_config.d/60-production-hardening.conf << 'EOF'
# 改换非标准 SSH 端口（例如 22222）
Port 22222

# 强制基于公钥认证
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 全局关闭密码登录与空密码
PasswordAuthentication no
PermitEmptyPasswords no

# 禁用 root 用户直接登录
PermitRootLogin no

# 握手超时与重试限制
LoginGraceTime 30
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2

# 禁用 X11 转发
X11Forwarding no
EOF

测试配置文件语法无误后，重载服务：

sudo sshd -t && sudo systemctl restart ssh

安全警告：在确认新端口能通过密钥成功登录前，不要退出当前的 SSH 窗口！打开新终端窗口验证：
ssh -i ~/.ssh/id_ed25519_ubuntu -p 22222 ittinker@<服务器IP>

---

5、Netplan 网络配置与 DNS 解析调优

在 Ubuntu 中，如果直接修改 /etc/resolv.conf，会在网络重载或系统重启后被 systemd-resolved 强行覆盖。正确的修改路径是维护 Netplan 配置。

5.1 查看当前 Netplan 配置文件

ls /etc/netplan/
# 常见文件名如 50-cloud-init.yaml 或 01-netcfg.yaml

5.2 规范化配置静态 DNS 与网络参数

以编辑 /etc/netplan/01-netcfg.yaml 为例：

network:
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      dhcp4: true
      nameservers:
        addresses:
          - 1.1.1.1
          - 8.8.8.8
          - 2606:4700:4700::1111

执行语法检查与应用：

# 校验并生成后端网络配置
sudo netplan generate

# 应用生效
sudo netplan apply

通过 resolvectl status 查看当前正在工作的全局与网卡级 DNS 上游服务器列表。

---

6、内核网络调优与 Swap 策略

6.1 开启 Google BBR 算法

编辑 /etc/sysctl.d/99-network-tuning.conf：

sudo tee /etc/sysctl.d/99-network-tuning.conf << 'EOF'
# 启用 FQ 队列调度与 BBR 拥塞控制
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr

# 提升网络并发队列与最大文件描述符
net.core.somaxconn = 65535
net.ipv4.tcp_max_syn_backlog = 8192
fs.file-max = 1000000

# 优化内存释放偏好，10 表示仅在物理内存极度紧张时才使用 Swap
vm.swappiness = 10
vm.vfs_cache_pressure = 50
EOF

sudo sysctl --system

6.2 创建 2GB 生产保护型 Swap 分区

如果 VPS 内存较小（如 1G 或 2G），偶尔遇到编译或突发流量时极易被 Linux OOM Killer 杀掉关键进程。通过 fallocate 创建 Swap 文件可提供缓冲保护：

# 1. 创建 2G 大小的空白文件
sudo fallocate -l 2G /swapfile

# 2. 设置只读文件权限
sudo chmod 600 /swapfile

# 3. 格式化为交换分区
sudo mkswap /swapfile

# 4. 立即激活交换分区
sudo swapon /swapfile

# 5. 追加至 fstab 实现开机自启
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

# 验证状态
free -h

---

7、UFW 防火墙与自动安全补丁配置

7.1 配置 UFW 防火墙

# 默认阻断进站，放行出站
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 放行加固后的 SSH 端口
sudo ufw allow 22222/tcp comment 'Custom SSH'

# 放行基础 Web 服务端口
sudo ufw allow 80/tcp comment 'HTTP'
sudo ufw allow 443/tcp comment 'HTTPS'

# 开启防火墙
sudo ufw enable
sudo ufw status verbose

7.2 配置 unattended-upgrades 自动化安全修补

生产环境需要定期修复高危 CVE，但又不能因为自动大版本升级破坏现有软件依赖。unattended-upgrades 可以精准配置只下载并安装带有“安全补丁”标识的包：

sudo apt install -y unattended-upgrades update-notifier-common

# 启用自动更新服务
sudo dpkg-reconfigure -plow unattended-upgrades

调整 /etc/apt/apt.conf.d/50unattended-upgrades：

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};

// 自动移除不再需要的旧依赖（相当于 autoremove）
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

// 发生更新后若需要重启，不自动强制重启，防止业务意外下线
Unattended-Upgrade::Automatic-Reboot "false";

---

8、结合开源脚本实现标准化交付

为了避免在多台机器上重复手工敲打上述长命令，可以借助开源工具仓库 ittinker-scripts 中的模块完成一键交付：

# 拉取独立开发者通用运维脚本
git clone https://github.com/Richardson/ittinker-scripts.git /opt/ittinker-scripts

# 1. 运行系统初始化综合脚本（自动完成时钟校准、源更新、BBR 调优）
sudo bash /opt/ittinker-scripts/vps-init/run.sh

# 2. 自动化配置 SSH 密钥并关闭密码验证
sudo bash /opt/ittinker-scripts/ssh-key-setup/run.sh

---

9、初始化验收清单

完成加固后，对照以下清单逐一执行验证：

• cat /etc/needrestart/needrestart.conf | grep '\$nrconf{restart}' 显示为自动模式或已禁用交互
• 尝试使用密码登录 SSH 返回拒绝，且默认 22 端口处于静默不通状态
• 通过 ssh -p 22222 ittinker@<IP> 顺利通过 Ed25519 密钥连接
• 执行 sudo whoami 无需切换用户即可获得 root 特权
• sysctl net.ipv4.tcp_congestion_control 输出包含 bbr
• sudo ufw status 仅展示指定的开放端口列表
• free -h 显示 Swap 空间已激活且剩余内存处于健康区间