新独立服务器入门步骤

您的服务器已自动完成安装，登录凭据已在控制面板中等候。本清单将带您从首次登录开始，把服务器配置为已更新至最新、可通过您自己的用户和 SSH 密钥访问、并受基础防火墙保护的系统。内容涵盖 Ubuntu、Debian、AlmaLinux 和 Rocky Linux。如果您安装的是 Windows Server，请改为参阅 Windows Server 指南。

登录凭据与首次登录

在控制面板中打开服务器（依次点击服务器和目标服务器），获取首次连接所需的信息：

• 服务器的 IPv4 地址，本指南中以 203.0.113.10 表示。您的路由 /64 IPv6 子网也列在控制面板中。
• root 密码，除非您选择了改为安装 SSH 密钥。若是如此，请使用对应的私钥登录。
• 带外访问位于控制面板中：打开服务器，然后选择“控制台（IPMI）”。请记住这个入口，因为即使 SSH 无法使用，它依然可用。

Linux、macOS 和较新版本的 Windows 均自带 OpenSSH 客户端。打开终端（Windows 上使用 PowerShell），以 root 身份连接：

ssh root@203.0.113.10

首次连接时，SSH 会显示服务器的主机密钥指纹并要求您确认。为确保您与服务器之间没有中间人，请将其与在 IPMI 控制台中运行以下命令输出的指纹进行比对，然后输入 yes：

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

如果您使用控制面板中显示的 root 密码登录，请立即更改该密码，然后点击我已保存：从我的账户中清除，将其从控制面板中清除：

passwd

本指南中的命令均以 root 身份运行。改用普通用户操作后，请在命令前加上 sudo。

安装更新

预装镜像较新，但安全更新会持续发布。请先安装更新，再进行其他操作。

Ubuntu 和 Debian

apt update
apt -y upgrade

AlmaLinux 和 Rocky Linux

dnf -y upgrade

如果安装了新内核，请重启使其生效。您的会话将会断开；待服务器恢复后重新连接。服务器硬件完成固件自检可能需要几分钟。

reboot

对于今后的更新，Ubuntu 通常已启用 unattended-upgrades 来安装安全修复。在 Debian 上，使用 apt install -y unattended-upgrades 安装并用 dpkg-reconfigure -plow unattended-upgrades 启用；在 AlmaLinux 和 Rocky Linux 上，请使用 dnf-automatic。

设置主机名和时区

在您掌控的域名下，为服务器设置一个完全限定域名：

hostnamectl set-hostname server.example.com

在 /etc/hosts 中添加一行包含公网 IP 的记录，使该名称能在本地解析。在 Debian 和 Ubuntu 上，如果 127.0.1.1 这一行仍是旧名称，请将其替换：

203.0.113.10   server.example.com   server

在您的 DNS 服务商处创建对应的 A 记录（IPv6 则为 AAAA 记录），然后将服务器的反向 DNS 设置为同一名称。一旦服务器发送邮件，这一点就至关重要。

UTC 是服务器最实用的时区：来自不同机器的日志无需换算即可对齐。设置时区并检查时钟是否已同步：

timedatectl set-timezone UTC
timedatectl

确认输出中包含 System clock synchronized: yes。如果您更希望使用本地时间，timedatectl list-timezones 会列出 Europe/Amsterdam 等时区名称。

创建 sudo 用户并添加 SSH 密钥

整天以 root 身份工作，任何一个笔误都可能波及整个系统。请创建一个具有 sudo 权限的个人账户，本文中称为 deploy。

Ubuntu 和 Debian（最小化的 Debian 镜像可能需要先执行 apt install -y sudo）：

adduser deploy
usermod -aG sudo deploy

AlmaLinux 和 Rocky Linux

useradd -m -G wheel deploy
passwd deploy

接下来，为该账户添加您的 SSH 密钥。如果 root 已接受您的密钥，请复制其 authorized_keys 文件，并设置正确的所有者和权限：

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/.ssh/authorized_keys /home/deploy/.ssh/authorized_keys

在 AlmaLinux 和 Rocky Linux 上，还需运行 restorecon -R /home/deploy/.ssh，以确保 SELinux 标签正确。还没有密钥？请按照使用 SSH 密钥登录中的说明创建密钥，并使用 ssh-copy-id 安装。

保持第一个终端处于打开状态，在第二个终端中测试：

ssh deploy@203.0.113.10
sudo whoami

最后一条命令应输出 root。确认您的用户可以使用密钥登录后，即可禁用 SSH 的密码认证；SSH 密钥指南介绍了如何操作才不会把自己锁在外面。

启用基础防火墙

DediJet 会在上游过滤网络层 DDoS 攻击，使其无法到达您的端口。但这并不决定您的哪些服务可以被访问：这由主机防火墙决定。请先放行 SSH，再随着服务的添加逐一开放端口。

Ubuntu 和 Debian：ufw

Ubuntu 已预装 ufw。在 Debian 上，请使用 apt install -y ufw 安装。然后执行：

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable
ufw status verbose

当 ufw enable 提示可能中断现有连接时，输入 y：由于 SSH 已放行，您的会话会保持连接。用同样的方式开放更多端口，例如为 Web 服务器执行 ufw allow 80,443/tcp。这些规则同时适用于 IPv4 和 IPv6。

AlmaLinux 和 Rocky Linux：firewalld

dnf install -y firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload
firewall-cmd --list-all

使用 firewall-cmd --permanent --add-service=https 添加服务，或使用 --add-port=25565/tcp 添加端口，然后运行 firewall-cmd --reload。如果 --list-all 显示了您用不到的服务（例如 cockpit），请使用 --remove-service 将其移除。

检查硬件

确认服务器与您的订单一致，且硬盘状态健康：

lscpu | grep -E 'Model name|Socket|Core|Thread'
free -h
lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINT
ip -br address

lscpu 显示 CPU 型号、核心数和线程数；free -h 显示内存容量，由于固件和内核会预留一部分，数值会略低于标称容量；lsblk 显示硬盘和分区；ip -br address 显示您的 IPv4 和 IPv6 地址。

在配备两块硬盘的服务器上，默认配置软件 RAID 1：两块硬盘保存相同的数据，因此即使其中一块发生故障，服务器也能继续运行。检查阵列状态：

cat /proc/mdstat

md1 : active raid1 nvme1n1p3[1] nvme0n1p3[0]
      974452736 blocks super 1.2 [2/2] [UU]

md0 : active raid1 nvme1n1p2[1] nvme0n1p2[0]
      1046528 blocks super 1.2 [2/2] [UU]

[2/2] [UU] 表示两个成员均在线且已同步。阵列名称、分区和容量因服务器而异。如果出现带进度条的 resync 行，说明镜像仍在后台构建；在此期间服务器可以正常使用。如果某个 U 的位置变成了下划线（例如 [U_]），则表示有硬盘缺失或已发生故障：请阅读软件 RAID 和硬盘健康状况，然后提交工单。

后续步骤

服务器已完成更新，可以通过您自己的账户访问，并受防火墙保护：您已获准起飞。接下来：

• 切换为仅使用 SSH 密钥登录，并禁用密码登录。
• 在对外提供服务之前，进一步加固服务器。
• 检查或扩展您的 IPv6 配置。
• 对服务器进行性能测试，保留一份基准数据，供日后对比。
• 随时备好 IPMI 控制台和救援模式指南：系统出现故障时，它们是您重新进入服务器的途径。

发现异常？我们的工程师 7×24 小时处理工单：请参阅技术支持。