新服务器开机后建议立即做的设置

开机后的前半小时，决定这台机器后面一年顺不顺。改密、更新、防火墙这些安全项之外，时区和快照计划是两件最容易漏、事后最补不回来的设置，一起做完再交付业务。 第一步：账号与时区 登录后先改初始密码：passwd，设 16 位以上。接着校准时间与时区：timedatectl set-timezone Asia/Shanghai，再开时间同步 systemctl enable --now chronyd（时间同步服务）。时区不对，日志时间和定时任务全部错位，排查问题时会让你怀疑人生，多台机器混用时更是灾难；时间不同步，HTTPS 证书校验和数据库同步都可能出毛病。顺手再建一个普通用户账号，日常操作不用 root，需要权限时再切换，多一道保险。 第二步：更新与防火墙 补丁先打满：CentOS 执行 yum update -y，Ubuntu 执行 apt update && apt upgrade -y。防火墙只放行 22、80、443：firewall-cmd --permanent --add-port=22/tcp --add-service={http,https} && firewall-cmd --reload，随后用 ss -tlnp 看一眼监听列表，用不到的端口一律不开。只有自己用的机器，可以进一步改成密钥登录并关闭密码认证，把爆破的路彻底堵死。 第三步：快照计划 业务部署完成后，把快照定成制度：每周一次自动快照、保留最近三到四份，重大变更前手动加一次。快照是误操作和被入侵后最短路径的恢复手段，几分钟的设置换一个兜底。顺云控制台的快照管理里可以直接创建计划任务，创建后在列表确认状态为完成才算数。快照命名带上日期和用途，将来回滚时不用一个个猜是什么状态。 验证与常见问题 用 date 确认时区生效，chronyc sources 确认时间同步有应答源，firewall-cmd --list-all 复核端口。常见报错两个：chronyd 起不来多是软件源没配好，先修 yum/apt 源；防火墙改完连不上，检查是不是把当前 SSH 端口一起禁了——改防火墙前永远保持现有会话不断开。全部设置做完重启一次，能正常连回来的机器才算交付合格。 半小时做完这几件事，这台机器的基本盘就算打牢了。