个人公网centos云服务器初新机器始化推荐步骤

一、建议系统用centos7

二、更换yum镜像源，比如用阿里的

1、备份原镜像源

cd /etc/yum.repos.d/
cp /CentOS-Base.repo /CentOS-Base-repo.bak

2、下载阿里镜像源

wget http://mirrors.aliyun.com/repo/Centos-7.repo

3、清理旧包

yum clean all

4、切换

mv Centos-7.repo CentOS-Base.repo

5、生成阿里云镜像源缓存并更新镜像源

yum makecache
yum update

三、配置端口防火墙

centos 7之后不能再使用iptables来配置防火墙，换成了firewalld，它通过python脚本定义的在/usr/lib/firewalld下面的xml配置信息，在启动时自动载入默认iptables配置，并应用到系统中。

当使用firewalld-cmd添加防火墙规则时，它实际是转换成iptables规则后，在应用到系统中。

1、查看防火墙状态

systemctl status firewalld

2、开启防火墙

systemctl start firewalld

3、配置服务器防火墙

以80端口为例，查看80端口是否开启：

firewall-cmd --query-port=80/tcp

查看有哪些端口是开启的：

firewall-cmd --list-port

开启80端口：

firewall-cmd --zone=public --add-port=80/tcp --permanent

关闭80端口：

firewall-cmd --zone=public --remove-port=80/tcp --permanent 

重载后生效：

firewall-cmd --reload

4、配置云厂商的外部防火墙

四、修改ssh端口

不要用22端口，减少机器爆破

修改/etc/ssh/sshd_config文件，将Port 前方的#注释删除，并将22修改为你想要使用远程登录的端口，例如54231。

# If you want to change the port on a SELinux system, you have to tell
# SELinux about this change.
# semanage port -a -t ssh_port_t -p tcp #PORTNUMBER
#
Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

重启sshd服务

systemctl restart sshd

下次登录要用：

ssh -p 54231 root@44.45.46.47

五、 禁用root登录、禁用密码登录、启用rsa的密钥key登录

1、 创建用户并设置密码

useradd testuser

passwd testuser

2、允许该用户以root身份执行命令

进入sudo配置：

visudo

添加

testuser ALL=(ALL) NOPASSWD:ALL

效果如下：

## The COMMANDS section may have other options added to it.
##
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
testuser ALL=(ALL)      NOPASSWD:ALL

切换到testuser验证sudo：

su testuser

sudo su -

3、禁用root用户登录

修改/etc/ssh/sshd_config文件，将PermitRootLogin yes改为PermitRootLogin no

# Example of overriding settings on a per-user basis
#Match User anoncvs
#       X11Forwarding no
#       AllowTcpForwarding no
#       PermitTTY no
#       ForceCommand cvs server

UseDNS no
AddressFamily inet
SyslogFacility AUTHPRIV
PermitRootLogin no
PasswordAuthentication yes

然后重启sshd服务

systemctl restart sshd

六、如有需要，关闭外网搭建vpnserver才能访问

1、搭建vpnserver
2、搭建时会用到/proc/sys/net/ipv4/ip_forward

附：

防火墙配置命令一览

1.firewalld的基本使用
启动：  systemctl start firewalld
查状态：systemctl status firewalld 
停止：  systemctl disable firewalld
禁用：  systemctl stop firewalld
在开机时启用一个服务：systemctl enable firewalld.service
在开机时禁用一个服务：systemctl disable firewalld.service
查看服务是否开机启动：systemctl is-enabled firewalld.service
查看已启动的服务列表：systemctl list-unit-files|grep enabled
查看启动失败的服务列表：systemctl --failed

2.配置firewalld-cmd
查看版本： firewall-cmd --version
查看帮助： firewall-cmd --help
显示状态： firewall-cmd --state
查看所有打开的端口： firewall-cmd --zone=public --list-ports
更新防火墙规则： firewall-cmd --reload
查看区域信息:  firewall-cmd --get-active-zones
查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0
拒绝所有包：firewall-cmd --panic-on
取消拒绝状态： firewall-cmd --panic-off
查看是否拒绝： firewall-cmd --query-panic

3.那怎么开启一个端口呢
添加
firewall-cmd --zone=public(作用域) --add-port=80/tcp(端口和访问类型) --permanent(永久生效)
firewall-cmd --zone=public --add-service=http --permanent
firewall-cmd --reload    # 重新载入，更新防火墙规则
firewall-cmd --zone= public --query-port=80/tcp  #查看
firewall-cmd --zone= public --remove-port=80/tcp --permanent  # 删除

firewall-cmd --list-services
firewall-cmd --get-services
firewall-cmd --add-service=<service>
firewall-cmd --delete-service=<service>
在每次修改端口和服务后/etc/firewalld/zones/public.xml文件就会被修改,所以也可以在文件中之间修改,然后重新加载
使用命令实际也是在修改文件，需要重新加载才能生效。

firewall-cmd --zone=public --query-port=80/tcp
firewall-cmd --zone=public --query-port=8080/tcp
firewall-cmd --zone=public --query-port=3306/tcp
firewall-cmd --zone=public --add-port=8080/tcp --permanent
firewall-cmd --zone=public --add-port=3306/tcp --permanent
firewall-cmd --zone=public --query-port=3306/tcp
firewall-cmd --zone=public --query-port=8080/tcp
firewall-cmd --reload  # 重新加载后才能生效
firewall-cmd --zone=public --query-port=3306/tcp
firewall-cmd --zone=public --query-port=8080/tcp


.详细使用
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept'    //设置某个ip访问某个服务
firewall-cmd --permanent --zone=public --remove-rich-rule='rule family="ipv4" source address="192.168.0.4/24" service name="http" accept' //删除配置
firewall-cmd --permanent --add-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //设置某个ip访问某个端口
firewall-cmd --permanent --remove-rich-rule 'rule family=ipv4 source address=192.168.0.1/2 port port=80 protocol=tcp accept'     //删除配置

firewall-cmd --query-masquerade  # 检查是否允许伪装IP
firewall-cmd --add-masquerade    # 允许防火墙伪装IP
firewall-cmd --remove-masquerade # 禁止防火墙伪装IP

firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080   # 将80端口的流量转发至8080
firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.1.0.1 # 将80端口的流量转发至192.168.0.1
firewall-cmd --add-forward-port=proto=80:proto=tcp:toaddr=192.168.0.1:toport=8080 # 将80端口的流量转发至192.168.0.1的8080端口

centos7以下版本：
1.开放80，22，8080 端口
/sbin/iptables -I INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -I INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -I INPUT -p tcp --dport 8080 -j ACCEPT
2.保存
/etc/rc.d/init.d/iptables save
3.查看打开的端口
/etc/init.d/iptables status
4.关闭防火墙 
1） 永久性生效，重启后不会复原
开启： chkconfig iptables on
关闭： chkconfig iptables off
2） 即时生效，重启后复原
开启： service iptables start
关闭： service iptables stop