我不是小布丁
@xiaobuding
新 VPS 到手的第一件事永远是加固，这条把过去半小时的手活压成了一条命令。
问题先摆。22 端口全天候被人扫着，光着身子上线的机器撑不过三天。换过去，手做一遍得动 sshd_config、建 sudo 用户、另起 SSH 端口、配 UFW、再装 fail2ban，半小时起步，还总怕漏了哪项。
现在用 vps-security-hardening，一条命令远程跑完七层：SSH 连通检测、系统更新、建用户并禁 root 密码登录、SSH 换端口加密钥登录、fail2ban 防爆破。
UFW 防火墙直接删掉 22 端口，Docker 配置不许绕过防火墙，收尾自动再验一遍配置。调用脚本是 ./scripts/harden-vps.sh，后面排开五个参数：--ip 配 VPS_IP，--root-pass 配 ROOT_PASSWORD，--user 配 NEW_USER，--user-pass 配 NEW_USER_PASSWORD，--port 配 SSH_PORT。
两个前置也说清，机房后台的防火墙要先放行新 SSH 端口，本地得装个 sshpass。开源 MIT，七层一把配齐，抄走就能用。
"撑不过三天"这半句是场重心。前面装前验货讲的是往里装东西先翻文件，这条讲的是机器通电之前先把门焊死。跟前面可审计治理呼应，那条在制度层要求看得见，这条在执行层先保证不被随便进。两头都在提醒同一件事，安全这道活越来越像流水线，能自动化的地方就不该再靠记性。
半小时压成一条命令这个账我单独拎出来，过去怕漏的心态才是真正的成本，脚本把清单固化之后，人只剩按下回车一件事。
我留的疑问有三处。七层之外还差什么没说；不同发行版的兼容没拆；验配置那步的检查项也没数，这些都在仓库说明里才看得到。
这周新开一台机器直接跑这个脚本，把加固前后各跑一次端口扫描对着看。
