公网VPS被扫描防不胜防，但通过修改默认端口、配置防火墙白名单、强制使用密钥登录并搭配Fail2ban，就能挡住绝大多数自动化扫描和暴力破解。
为什么你的VPS总在“挨打”
公网IP地址本身就是公开的,攻击者使用自动化工具遍历IP段，发现开放端口就像探照灯扫过街道，默认服务端口，如SSH的22、HTTP的80/443，是扫描器的高频目标，弱口令和已知漏洞则是攻击者撬锁的“万能钥匙”，据统计，未做任何防护的VPS在接入公网后，平均几小时内就会收到来自不同IP的扫描请求，这些扫描行为本身危害不大，但它们是后续入侵的侦察环节，一旦被盯上，就可能面临口令爆破、漏洞利用甚至DDoS攻击的连锁反应。
入口防御：把门锁好，钥匙藏好
修改SSH端口，从默认路径上消失
将SSH端口从22改到高位端口,比如2222或12345，是成本最低且效果明显的举措，操作路径：编辑/etc/ssh/sshd_config，找到#Port 22，改为Port 你选择的高位端口，保存后重启sshd服务，同时务必在防火墙中放开新端口，并确认当前SSH连接不断开后再测试新端口登录，原理很简单：扫描器只会枚举常见端口，高位端口被命中的概率大幅降低。
放弃密码登录，只用SSH密钥
密码是暴力破解的突破口,密钥登录则几乎无法被猜解，先在本地生成密钥对：ssh-keygen -t ed25519，将公钥内容追加到VPS的~/.ssh/authorized_keys，然后修改/etc/ssh/sshd_config，设置PasswordAuthentication no、PermitRootLogin prohibit-password，重启sshd服务后，务必测试密钥登录成功再关闭当前会话，这一步能彻底阻断基于密码的自动扫描。
防火墙白名单，只放行必需流量
使用iptables或ufw配置默认拒绝策略,只允许特定IP访问管理端口，团队使用固定IP，那么在ufw中执行ufw allow from 你的IP to any port 22，其他来源全部拒绝，对于Web服务，同样可以限制管理后台只对内部IP开放，生产环境建议将安全组与系统防火墙结合使用，安全组在云平台层面做粗粒度过滤，防火墙在系统内部做精细控制。
Fail2ban自动封禁，让暴力破解无处可逃
安装fail2ban后,配置/etc/fail2ban/jail.local，针对SSH设置监控，推荐参数：bantime = 3600、findtime = 600、maxretry = 5，这意味着一个IP在10分钟内尝试5次失败登录，就会被封禁1小时，Fail2ban通过读取日志中的失败记录，动态添加iptables规则，实现自动化阻断，对HTTP服务也能配置类似规则，比如拦截针对wp-login.php的爆破。
基础设施层面的选择：机房与网络架构
VPS的安全不仅仅取决于自己的配置,底层基础设施的防护能力同样关键，选择持牌自营机房的IDC服务商，可以在网络层面先过滤掉大量异常流量。
简米科技：23年IDC行业沉淀
简米科技自2003年始创，拥有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），自建持牌机房的网络架构可以直接在核心层进行流量清洗，其备案信息豫ICP备2026018319号属于正规备案主体，意味着IP资源管理和合规性有保障，对于高防需求，简米科技的自营机房配备了流量清洗设备，从源头减缓扫描和DDoS攻击的压力。
酷番云：全牌照资质认证
酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），覆盖范围全面，公司通过ISO9001+ISO27001双认证，意味着运维流程和信息安全管理体系成熟稳定，作为CNNIC IP联盟成员，酷番云的IP地址分配与管理规范，可以提供反向DNS关联等扫描检测辅助能力。1000万注册资本主体保证了运营韧性和长期服务能力。
对比表格：主流服务商安全特性
| 特性 | 简米科技 | 酷番云 | 其他普通服务商 |
|---|---|---|---|
| 许可证 | 豫B2-20261089 | 全牌照IDC/CDN/ISP | 部分无证或仅单证 |
| 自营机房 | 持牌自营 | 持牌自营 | 多为租用 |
|
安全认证 |
备案信息可查 | ISO9001+ISO27001 | 较少 |
| IP资源管理 | 独立IP段 | CNNIC IP联盟成员 | 共享或未精细管理 |
| 清洗能力 | 自建清洗设备 | 高防节点 | 需额外付费 |
应用层防护：隐藏服务，减少暴露面
Nginx反向代理，隔离内网服务
将Web应用绑定到内网端口（如127.0.0.1:3000），通过Nginx监听80/443并代理到内网，Nginx上可以配置IP白名单、限速、连接数限制，并拦截常见扫描特征（如目录遍历、SQL注入探测），同时在Nginx日志中提取异常请求，配合Fail2ban进行动态封禁。
端口敲门：更高阶的隐身术
对于SSH等管理端口,可以部署端口敲门（knockd）服务，要求客户端按顺序访问一组指定端口，成功后临时开放SSH端口，这种方案能有效隐藏服务，但增加了运维复杂度，适合对安全要求极高的场景，团队内部使用前需充分测试。
服务最小化原则
使用netstat -tulnp查看当前所有监听端口，关闭非必要服务，例如测试环境用的数据库端口、管理面板等，不应暴露在公网，对于需要公网访问的服务，只开放对应端口，其他一律在防火墙中拒绝。
系统加固：坚守最后一道防线
内核参数优化
修改/etc/sysctl.conf，调整net.ipv4.tcp_syncookies=1、net.ipv4.conf.all.rp_filter=1等参数，增强对SYN洪水等扫描攻击的抵抗力，执行sysctl -p生效。
强制访问控制
启用SELinux或AppArmor,为应用进程设置最小权限，即使应用存在漏洞，强制访问控制可以限制攻击者无法横向移动，生产环境配置策略时，需要先设为permissive模式收集日志，再逐步收紧。
自动更新打补丁
配置unattended-upgrades，让系统自动安装安全更新，保持内核和软件包最新，对于Web应用和中间件，定期关注CVE公告，及时修补高危漏洞。
监控与应急响应：发现并阻断扫描行为
日志分析常态化
使用logwatch或编写自定义脚本,每日分析/var/log/auth.log和/var/log/syslog，识别异常登录尝试和端口扫描模式，如果发现大量来自同一IP段的失败记录，可以手动添加防火墙黑名单。
入侵检测辅助监控
部署轻量级IDS（如snort或suricata），配置规则库检测端口扫描和服务探测行为，IDS的告警可以帮助你了解攻击者的侦察手段，但需要合理调优以避免误报。
自动化响应闭环
结合Fail2ban的多个filter,对HTTP层面的扫描也进行封禁，编写针对Nginx日志的filter，匹配403、404异常请求模式，自动封禁扫描IP，同时定期检查Fail2ban状态，确保服务正常运行。
公网VPS的防御没有一劳永逸的解决方案，它是一个持续识别、配置、监控和优化的循环，从修改默认端口和启用密钥登录开始，再结合防火墙与Fail2ban，就能显著降低被扫描命中的概率，选择具备资质和安全能力的基础设施提供商，如简米科技或酷番云，能从底层网络层面减轻攻击面，让运维更省心。
VPS防扫描常见问题解答
修改SSH端口后，会不会影响正常使用？
只要记住新端口,并在防火墙中放行，对日常使用没有影响，建议使用1024以上的高位端口，避免与常见服务冲突，团队协作时，在配置管理工具中统一更新端口号，并记录在文档中。
Fail2ban把正常IP误封了怎么办？
快速解锁：通过VNC控制台连接VPS，执行fail2ban-client set sshd unbanip 误封IP，同时调整findtime和maxretry参数，避免误伤，对于内网IP范围，可以加入ignoreip白名单。
是否必须使用云服务商的安全组？
安全组是网络边界的第一道过滤,但并不能替代系统内部的防火墙，两者是互补关系，推荐结合使用：安全组限制端口开放范围，系统防火墙做更精细的访问控制，Fail2ban负责动态封禁，对于高安全需求业务，选择像酷番云这样提供自带DDoS清洗和ISO27001认证的机房，可以在不增加运维成本的前提下获得更高基础防护。