用 DD 重装 Debian 与必要的安全加固

KVM 架构的 VPS 如果服务商不提供自定义 ISO，预装系统可能带各种 agent、脚本与遗留账号，等同于把控制权部分让渡给厂商。用 DD 把磁盘镜像直接覆写为官方系统镜像，可以拿到一份干净的 Debian。本文给出 DD 流程，并补上拿到机器后立刻该做的安全加固。

风险提示：DD 会清空磁盘，IP 与 SSH 凭据均会变化；登录方式失败将无法补救。务必先确认厂商提供 VNC/IPMI 救援入口，或快照可回滚。

用 DD 重装为干净的 Debian

选脚本

社区常用脚本有两类：

MollyLau/leitbogioro 的 Network-Reinstall-System-Modify：维护活跃，支持 Debian 11/12、Ubuntu、AlmaLinux 等
bin456789/reinstall：覆盖更广，支持 BIOS/UEFI 双模式

下面以 reinstall 为例：

1
apt update && apt install -y wget xz-utils openssl
2

3
# 拉取脚本
4
wget --no-check-certificate -O reinstall.sh \
5
  https://raw.githubusercontent.com/bin456789/reinstall/main/reinstall.sh
6
chmod +x reinstall.sh

执行重装

1
# 安装 Debian 12，密码用强随机串
2
NEW_PWD=$(openssl rand -base64 18)
3
echo "New root password: $NEW_PWD"
4
./reinstall.sh debian 12 --password "$NEW_PWD"
5

6
# 立即重启进入安装流程
7
reboot

重装过程通常 5-15 分钟，期间 SSH 不可达。安装结束后，新系统的 SSH 默认端口可能被脚本改写（reinstall 默认仍是 22，部分老脚本如 DebianNET 会改成 3022），用脚本输出的端口连入：

1
ssh root@your-ip   # 或 ssh root@your-ip -p 3022

系统初始化

1
apt update && apt full-upgrade -y
2
apt install -y vim sudo curl ca-certificates
3

4
# 时区改为你自己所在的（示例为上海）
5
timedatectl set-timezone Asia/Shanghai
6

7
# 自动安全更新，避免常年不打补丁
8
apt install -y unattended-upgrades
9
dpkg-reconfigure -f noninteractive unattended-upgrades

DNS 在 Debian 12 默认由 systemd-resolved 管理，不要直接改 /etc/resolv.conf 也不要 chattr +i，正确做法：

1
mkdir -p /etc/systemd/resolved.conf.d
2
cat > /etc/systemd/resolved.conf.d/dns.conf <<'EOF'
3
[Resolve]
4
DNS=1.1.1.1 8.8.8.8
5
FallbackDNS=9.9.9.9
6
DNSOverTLS=opportunistic
7
EOF
8
systemctl restart systemd-resolved
9
resolvectl status   # 验证 DNS 已生效

加普通用户与 sudo

1
USERNAME=ops
2
adduser "$USERNAME"
3
usermod -aG sudo "$USERNAME"

把 sudo 规则写到 /etc/sudoers.d/，并用 visudo 校验语法（直接 chmod +w /etc/sudoers 是错误做法，会破坏权限位）：

1
visudo -f /etc/sudoers.d/${USERNAME}
2
# 写入下面一行（按需选其一）：
3
# 提权需要密码（推荐）
4
${USERNAME} ALL=(ALL) ALL
5
# 提权免密（仅在 SSH 已强化、机器单人使用时考虑）
6
# ${USERNAME} ALL=(ALL) NOPASSWD: ALL

visudo 在保存时会校验语法错误，比直接编辑 /etc/sudoers 安全得多。

SSH 加固

生成密钥（在你本机，不是 VPS 上）

1
# 优先 ed25519，比 RSA 短、快、安全
2
ssh-keygen -t ed25519 -C "your_email@example.com"

不要再用 ssh-keygen -b 1024，1024 位 RSA 早已不安全；如必须 RSA，最低 4096 位。

把本机 ~/.ssh/id_ed25519.pub 内容追加到 VPS 上 ~ops/.ssh/authorized_keys：

1
# 在 VPS 上以 ops 用户操作
2
mkdir -p ~/.ssh && chmod 700 ~/.ssh
3
vim ~/.ssh/authorized_keys   # 粘贴公钥
4
chmod 600 ~/.ssh/authorized_keys

或在本机直接：

1
ssh-copy-id -p 22 ops@your-ip

改 sshd 配置

1
vim /etc/ssh/sshd_config.d/99-hardening.conf

写入（这种放在 sshd_config.d/ 的方式比改主配置更可靠，发行版升级时不会冲突）：

1
Port 3022
2
PermitRootLogin no
3
PasswordAuthentication no
4
PubkeyAuthentication yes
5
KbdInteractiveAuthentication no
6
MaxAuthTries 3
7
LoginGraceTime 20
8
AllowUsers ops

先开新端口的 SSH 监听验证可用，再断开旧连接：

1
sshd -t   # 语法预检，必做
2
systemctl reload ssh
3
# 新开终端测试新端口能用：ssh -p 3022 ops@your-ip
4
# 验证通过后再 exit 老连接

防火墙

UFW 是 iptables/nftables 的简化前端：

1
apt install -y ufw
2
ufw default deny incoming
3
ufw default allow outgoing
4
ufw allow 3022/tcp comment 'SSH'
5
# 按需放行其他服务，例如 Web
6
# ufw allow 80,443/tcp
7
ufw enable
8
ufw status verbose

UFW 不会自动识别云厂商安全组，记得到控制台同步放行。

暴力破解防护

虽然已经禁用密码登录，但放一层 fail2ban 兜底，防止暴露的非 22 端口被扫描爆破：

1
apt install -y fail2ban
2
cat > /etc/fail2ban/jail.d/sshd.local <<'EOF'
3
[sshd]
4
enabled = true
5
port = 3022
6
maxretry = 5
7
findtime = 10m
8
bantime = 1h
9
EOF
10
systemctl restart fail2ban
11
fail2ban-client status sshd

验收清单

1
# 1. 用 root 已无法登录（应被拒绝）
2
ssh -p 3022 root@your-ip
3

4
# 2. 用密码登录已禁用（应直接断）
5
ssh -p 3022 -o PreferredAuthentications=password ops@your-ip
6

7
# 3. 旧端口 22 应不可达
8
ssh -p 22 ops@your-ip
9

10
# 4. 自动更新计划生效
11
systemctl status apt-daily-upgrade.timer
12

13
# 5. 防火墙状态
14
ufw status

四项符合预期，则一台干净、自带补丁、最小开放面、密钥+IP白名单+fail2ban 三层防护的 Debian 主机就备好了。后续可以按业务需要安装 Web、代理、数据库等服务。