1. 基础准备与链路/路由确认
1.1 在上架前与电信/IDC确认CN2链路类型（CN2 GT/CT/Direct）、公网IP段、是否提供BGP或只分配单IP。
1.2 要求提供反向DNS、抗DDoS能力及应急联系人；获取ASN/路由对象时确认是否需要你方公布路由。
1.3 本地测试：连接上机后，先用 ping -c 5 8.8.8.8 和 traceroute -n -w 1 目标IP 验证延迟与路由是否走CN2专线。
2. 操作系统安装与基础安全更新
2.1 先选择稳定的发行版（Ubuntu LTS / CentOS Stream / Rocky），ISO安装时启用LVM与加密分区（如需要）。
2.2 安装完成后立即执行系统更新：Ubuntu：apt update && apt upgrade -y；CentOS：yum update -y。启用自动安全更新：Ubuntu apt unattended-upgrades 或 yum-cron。
2.3 建立最小化账户：创建运维账号并加入sudo：adduser ops && usermod -aG sudo ops，并禁用直接root远程登录（后续SSH配置）。
3. SSH 强化与访问控制
3.1 使用密钥登录：生成密钥对（本地）ssh-keygen -t ed25519，把公钥置于服务器 ~/.ssh/authorized_keys。
3.2 修改 /etc/ssh/sshd_config 关键项：PermitRootLogin no、PasswordAuthentication no、PermitEmptyPasswords no、更改默认端口如 Port 22022（注意配合防火墙）。
3.3 限制登录用户：在 sshd_config 中使用 AllowUsers ops admin 或使用 AllowGroups。重启SSH：systemctl restart sshd。
4. 防火墙与连接限制（iptables/nft/ufw）
4.1 建议先用简单规则测试，再持久化。示例iptables最小规则：
- 清空并设置默认策略：iptables -F && iptables -P INPUT DROP && iptables -P FORWARD DROP && iptables -P OUTPUT ACCEPT。
- 允许本地回环：iptables -A INPUT -i lo -j ACCEPT。
- 允许已建立：iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT。
- 允许SSH端口：iptables -A INPUT -p tcp --dport 22022 -m conntrack --ctstate NEW -j ACCEPT。保存：Ubuntu use iptables-persistent，CentOS use service iptables save。
4.2 推荐使用 rate-limit 防暴力连接：iptables -A INPUT -p tcp --dport 22022 -m connlimit --connlimit-above 10 -j REJECT 或 -m recent --set 配合限制。
5. 防暴力与入侵检测（Fail2Ban / Wazuh）
5.1 安装并配置 fail2ban：Ubuntu apt install fail2ban，创建 /etc/fail2ban/jail.local，添加 sshd 区域，设置 bantime、maxretry、findtime。示例：[sshd] enabled = true port = 22022 maxretry = 5 bantime = 3600。重载 systemctl restart fail2ban。
5.2 部署集中式主机IDS/日志采集：Wazuh/OSSEC + ELK/Opensearch，将日志发送到日本或云端SIEM，设置告警阈值与自动化响应。
5.3 对重要目录启用审计：安装 auditd 并配置 /etc/audit/audit.rules 监控 /etc/ssh，/etc/passwd 等变更。
6. 应用层安全与TLS配置
6.1 对外服务（Web/API）必须使用TLS：使用Let's Encrypt 自动签发（certbot），并定期自动续期：certbot renew --quiet。
6.2 Nginx/Apache 强化：禁用弱加密套件，示例 Nginx ssl 配置：ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'EECDH+AESGCM:...'; ssl_prefer_server_ciphers on;，并启用 HSTS。
6.3 在边界启用WAF（ModSecurity）并配置规则集（OWASP CRS），对常见注入、上传漏洞做拦截。
7. BGP/路由安全与上游协调（如部署自有公网段）
7.1 若你方使用BGP对外发布路由，必须与上游确认：MD5/TCP-AUTH、最大前缀、社区、黑洞路由支持。
7.2 配置路由过滤与RPKI：在你的路由器上应用前缀过滤、AS路径过滤，并在BGP策略中启用RPKI验证以减少劫持风险。示例（Quagga/FRR）：设置 neighbor ebgp remote-as X ; neighbor ebgp password "md5"; 配合 prefix-list 与 route-map。
7.3 对于CN2直连，建议与电信签署紧急清洗与黑洞策略（BGP Flowspec 或静态黑洞 route-map）。
8. 日志、备份与监控策略
8.1 将关键日志（auth, syslog, nginx）远程化存储：rsyslog/FLuentd 推送到集中日志服务器，防止本机日志被清除。
8.2 自动化备份：使用 rsync + gpg 加密备份到异地或对象存储，测试恢复：定期演练。
8.3 监控与告警：Prometheus + node_exporter / Grafana，设定CPU/IO/网络/异常流量阈值，结合PagerDuty/钉钉告警链路。
9. 应急响应与演练（问：如何快速应对DDoS或入侵？）
问：如果遭遇大规模DDoS或服务器被入侵，运维团队第一时间应做什么？
答：第一时间切断受影响流量并启用上游清洗：联系IDC/电信切换到清洗节点或开启黑洞，与此同时将流量导流到WAF/CDN做吸收；若是入侵，立即隔离被攻陷主机（从网络断开）、保全内存与磁盘痕迹、在安全主机上收集影像并根据IR流程恢复备份并替换密钥。
10. 合规与运维最佳实践（问：是否需要遵守日本/中国两地法规？）
问：部署日本CN2直连服务器时是否需要注意法律合规问题？
答：是的。需要确认数据主权与隐私法规（如个人信息保护法、日本APPI、中国的相关规定），跨境传输时对敏感数据做脱敏或加密传输；与IDC签署SLA与数据处理协议，保留审计记录并定期做安全评估。
11. 常见问题与后续优化（问：部署后的持续优化有哪些重点？）
问：服务器上线后，运维应该持续优化哪些安全点以保持长期稳定？
答：持续补丁与依赖管理、定期漏洞扫描（Nessus/Qualys）、按季度做渗透测试、优化BGP策略与DDoS预案、定期旋转密钥与证书、保持监控与报警精细化，并开展演练与回顾。
