很多人在购入第一台VPS后，往往不确定该如何高效利用。最常见的做法是：直接安装宝塔面板，再部署一个WordPress博客，运行两天后就搁置了。没过几天，打开 auth.log 一看，满屏都是暴力破解记录——SSH端口仍为默认的22，root密码还是简单的8位数字。更糟糕的是，一开始没有测试网络，等所有服务都部署完毕才发现晚高峰根本无法使用，之前的安装工作全都白费了。
因此，本文的目的很简单：梳理新机器的标准化初始流程。不要急于安装服务，先花半小时完成服务器的基本配置。整个过程并不耗时，但能有效避免“什么都装好了，结果没法用”的尴尬局面。
SSH 安全加固
从机器启动的那一刻起，22端口就处于全网扫描之中。不相信的话，在命令行执行 grep "Failed password" /var/log/auth.log——新机器开机不到半天，这个文件就会刷出一屏暴力破解日志。别多想，并非有人专门盯着你，而是所有公网IP无时无刻不在被扫描。弱密码搭配默认端口，被撞库只是时间问题。
正确的操作方式是：拿到机器后，先不要急着安装软件，而是立刻修改SSH端口和登录方式。
- 修改 SSH 端口
打开/etc/ssh/sshd_config，找到#Port 22，去掉注释，改成自定义端口，例如Port 5922。 - 禁用密码登录，启用密钥认证
同样在sshd_config中确保以下三行配置正确：
PubkeyAuthentication yes
PasswordAuthentication no
PermitRootLogin prohibit-password
- 重启 SSH 服务：
systemctl restart sshd
如何确认配置生效？新开一个终端窗口，使用新端口和密钥能够成功登录，而旧端口和密码均无法连接，说明配置正确。
系统更新与基础工具安装
SSH加固完成后，也不要急着安装面板。很多人正是这一步跳得太快，导致后续安装软件时频繁遇到缺少依赖的问题——curl 没有、htop 没有，系统时间还差了八小时。查看日志时时间对不上，非常令人抓狂。
- 更新系统包
apt update && apt upgrade -y（如果是 CentOS / AlmaLinux，则使用yum update -y） - 安装常用工具
apt install -y curl wget vim htop git unzip
这些工具在后续操作中几乎都会用到。曾经有一台机器连wget都没有，下载脚本时还得先安装工具，非常麻烦。 - 同步系统时间
timedatectl set-timezone Asia/Shanghai
虽然不是必须的，但在排查日志问题时，时间不一致会让人非常抓狂。 - 是否需要安装 Docker？
curl -fsSL https://get.docker.com | sh
如果计划使用 Docker 运行服务（如面板、监控、博客、密码管理器等），建议在此步骤就安装。安装完成后运行docker --version，能显示版本号即可。
如果只是用来建站、安装宝塔面板，Docker 可以先不装。但很多人的习惯是，无论这台机器最终用途如何，都会先装上 Docker。因为后续运行哪吒监控、Vaultwarden、Umami 等服务基本都依赖 Docker，提前装好后续随时可用，避免回过头来重新配置环境。
网络与 IP 检测：先验证再部署
这一步是踩坑最多的地方。之前有一台机器白天测速表现不错，于是直接开始部署，到了晚上自己连接时才发现延迟飙到300ms，晚高峰根本无法使用。问题出在没有测试回程线路——白天的数据完全不能代表晚上的状况。所以现在的原则是：系统安装完成后、部署任何服务之前，必须先验证网络质量。
- 测试 IP 连通性
最快的方法：使用 itdog.cn 在线 ping 你的 IP。
- 全红（全球超时）：机器可能尚未正确开通，或者 IP 本身存在问题，需前往商家后台检查。
- 海外绿、大陆红：大概率是 IP 被墙了，需要更换 IP 或使用跳板。
- 全绿：正常，可以继续下一步。 - 测试回程线路
mtr -rn 你的本地IP
ping 通不代表能用，还需要看回程质量。在服务器上安装 besttrace 或使用 MTR。重点关注晚高峰时段（20:00-23:00）的表现。白天测速好看没有太大意义，网络稳定性需以晚高峰不抖动为准。 - 测试流媒体解锁（按需）
bash <(curl -L -s media.ispvps.com)
这一步根据需求决定，如果只是建站或运行服务，可以不测。
为自己留下记录与保障
按照上述流程完成后，服务器基本已处于稳定状态。但如果希望更加完善，还可以继续做几件事。许多人的问题是手上有多个服务器，容易忘记某台到底安装了哪些东西、什么时候到期、是否需要续费。
- 安装监控探针
每台服务器安装哪吒监控，CPU、内存、流量、在线状态一目了然，哪台机器挂了会直接发送告警，无需逐一 SSH 登录检查。如果只有一两台机器，哪吒监控或 MyNodeQuery 均可，选一个装上即可。 - 创建快照或备份
部分商家支持自动快照（例如 Vultr、Lightsail），在后台点几下就能开启，几乎不产生额外费用。如果没有自动快照功能，至少手动将/etc/ssh/、/etc/nginx/、docker compose 文件等重要配置打包备份一份。
有人之前花费大半天配置环境，结果不小心删除了 nginx 配置，又没有备份，只能重新配置一遍。从那以后，每台机器跑通后第一时间打一个快照，至少确保有一个干净的还原点。 - 记录这台机器的关键信息
找一个地方记录以下内容：
- 这台机器的主要用途
- IP 地址、SSH 端口、登录方式
- 商家名称、套餐、到期时间、续费价格
- 开机后安装的软件列表
可以使用 Obsidian 建立表格，每台机器一条记录。方法不限，哪怕用备忘录也行，关键是不要完全依赖记忆。有人曾有一台 CloudCone 的年付机器，到期自动续费后价格涨价了都不知道，原因就是没有记录。
现在的标准化流程总结
加固 SSH、更新系统、验证网络、记录信息。耗时半小时到一小时，但省去了后期返工补课的时间。每台新机器到手都按这个顺序操作，无论是10美元一年的廉价服务器还是50美元一月的生产环境机器。第一台跑一遍流程，后续开新机直接复制操作即可。
这些步骤本身并不复杂，花半小时走一遍而已。但如果跳过它们，后续出现问题再补救所花费的时间远不止半小时。
