服务器远程协议安全怎么搞？手把手教你防黑客盗数据删库

前阵子有个开独立站的朋友找我哭，说服务器半夜被黑了。黑客登进去删了所有订单和用户数据，还留了勒索信要0.3个比特币。后来查原因，就是他图省事，远程端口用默认的3389，密码设的自己手机号后六位，被黑客扫到直接破了。

这种事真的太常见了，很多人买完服务器，开完远程就不管了。觉得自己就是个小站长，服务器里也没什么值钱东西，黑客不会盯上你。真不是，现在黑客的扫描工具24小时跑，逮着有漏洞的服务器就薅，要么偷数据要么挖矿，要么直接锁你文件勒索。

今天这篇就给你讲明白，服务器远程协议安全怎么搞。没有难懂的术语，全是照着就能做的操作，弄完能挡住95%以上的远程攻击。

1、先把默认配置的漏洞全堵上，这是最基础的

现在大家常用的远程协议就两种，Windows服务器用RDP，Linux服务器用SSH。这俩默认的配置漏洞特别多，先改了再说。

① 改掉默认远程端口

RDP默认端口是3389，SSH默认端口是22，黑客的扫描工具第一波就扫这俩端口，相当于你家门牌号大家都知道，随时能过来撬锁。

操作很简单，把端口改成10000到65535之间的数就行，别改80、443这种网站常用的端口，会影响你业务跑。

避坑提醒：改完端口一定要在服务器防火墙放通新端口，还要重启服务器生效，别改完直接退出，回头自己登不上，还要找服务商后台重置，特别麻烦。

Windows你直接搜“修改RDP默认端口”，跟着步骤点注册表就行，全程5分钟搞定。Linux的话打开/etc/ssh/sshd_config文件，找到Port 22这一行，把22改成你选的新端口，保存后重启SSH服务就完事。

② 别用弱密码，也别所有服务器共用一个密码

很多人图好记，密码设成123456、公司名加年份、自己手机号后六位，黑客用工具试密码，一分钟就能破这种弱密码。

密码最少要12位以上，混着大小写、数字和特殊符号，比如Mf2024@kj89这种，记不住就用密码管理工具存，别放在微信收藏或者桌面记事本里，容易漏。

绝对不要所有服务器都用同一个密码，之前有个做外包的朋友，测试服密码泄露，黑客顺着同一个密码登了他手上8个客户的生产服务器，赔了十几万。

2、给远程登录加层“门禁”，别谁都能试密码

就算你改了端口设了强密码，也架不住黑客天天扫天天试，加个准入限制，能挡掉大部分攻击。

① 开登录失败锁定

就是设置成输错3次密码，就把登录的IP锁24小时，黑客就算有工具试密码，试3次就被拦在外面，根本碰不到你密码。

Windows直接在本地组策略里找“账户锁定策略”，设置3次失败就锁定24小时就行。Linux的话打开/etc/pam.d/sshd文件，加两行代码：

``` auth required pam_tally2.so deny=3 unlock_time=86400 even_deny_root account required pam_tally2.so ```

保存后重启SSH服务就生效。避坑提醒：要是自己输错密码被锁了，直接走服务商的VNC后台登进去解锁就行，别慌。

② 给常用IP开白名单

要是你只有公司和家里两个地方登服务器，直接在防火墙里把这两个IP加白名单，其他IP连远程端口直接拒绝。这招能挡住90%的随机扫描攻击。

我之前帮一个做小程序的客户弄了IP白名单，之前每天能收到上百次暴力破解提醒，弄完之后半个月都没一条告警，特别好用。要是你经常出差换地方，不用白名单也没事，用后面的方法也行。

3、关掉密码登录，换更安全的验证方式

要是你服务器里存了用户数据、交易信息这种重要内容，直接把密码登录关了，换更安全的验证方式，就算密码泄露也不怕。

① SSH用密钥登录，不用密码

密钥相当于你自己生成一对专属门禁卡，公钥放服务器上，私钥存在你自己电脑里，登的时候只有私钥对上了才能进，黑客没有私钥根本进不来。

操作也简单，本地用ssh-keygen命令生成密钥，把公钥内容复制到服务器的~/.ssh/authorized_keys文件里，改下文件权限，再把sshd_config里的PasswordAuthentication改成no，重启SSH服务就行。

私钥一定要备份好，存在U盘或者密码管理工具里，丢了你自己也登不上服务器。

② Windows RDP开双因素验证

就是除了输密码，还要输手机上的动态验证码，比如用微软的Authenticator就行，安装好之后绑定账号，每次登的时候除了密码还要输6位动态码，就算密码泄露了，黑客没有你手机的验证码也登不进去。

这个特别适合公司多人共用的服务器，每个人都绑定自己的手机，不会因为某个人密码泄露，整个服务器都被黑。

上面这些操作加起来最多半小时就能弄完，成本几乎为零。别觉得自己是小用户就不会被盯上，黑客扫端口不分大小，逮到漏洞就薅。

现在就打开你服务器的后台，先检查远程端口是不是默认的22或者3389，先把端口改了，10分钟就能搞定。剩下的操作今天抽半小时弄完，怕出错就先拿测试机试一遍，再弄生产机就行。真等被黑了丢数据，损失的钱可比这半小时值钱多了。