EnvSH/安全与网络优化
找一条命令/
EN
☰

ADVANCED / OPTIONAL

安全与网络优化

两件可选的事：挡住暴力破解，以及让 TCP 跑得更快。每项都说明会改什么、要不要重启、怎么确认生效。

基础安全（密钥登录、关闭密码登录、防火墙、自动安全更新）在 初始化 VPS。先做完那一步，这里的内容才有意义。
服务器系统

Debian 12/13、Ubuntu 22.04–26.04；Rocky / AlmaLinux 8–10、CentOS Stream 9/10、RHEL（dnf，部分工具来自 EPEL）；Alpine 3.x（apk + OpenRC）。脚本执行前会核对系统，选错会直接停止。

1. 防暴力破解

用 CrowdSec 分析 SSH 等日志，识别恶意 IP

只检测：记录可疑 IP，不拦截，适合先观察。检测并拦截：再装防火墙 bouncer，自动封禁。已经关闭密码登录的机器，风险本来就低。Alpine 没有 CrowdSec 软件包。

2. TCP 加速（BBR）

改善高延迟、有丢包线路上的吞吐

开启 BBR：用当前内核，立即生效，不用重启，所有系统可用。BBRv3：换 XanMod 内核，仅 Debian / Ubuntu 的 x86_64，需要重启，会自动检测 CPU 选对版本。

包管理器、输出格式与执行身份
用哪个安装

仅 Debian / Ubuntu：默认使用 apt；选择 nala 时会先安装它。RHEL 系固定使用 dnf，Alpine 固定使用 apk。

怎么用

粘贴模式在子 shell 中遇错停止，不会关闭当前 SSH 会话。脚本模式适合下载后审阅并保存。

用谁执行

刚重装完是 root，所以默认命令不带 sudo。你是普通用户、并且已经装了 sudo 时，再选 sudo。

harden.txt
在左侧选择防暴力破解或 BBR，这里会生成命令。

脚本结尾会打印确认命令：cscli metrics 看 CrowdSec 是否在读日志，sysctl net.ipv4.tcp_congestion_control 看 BBR 是否生效。