开始前准备好这几样

这篇不是让你机械点完一串按钮。处理“新 VPS 安全设置”时，下载来源、版本和恢复方法，比照着旧截图走到底更重要。

简短结论：新实例先完成密钥、非必要服务和更新检查，再部署业务；默认镜像只是起点，不代表已符合你的安全边界。

编辑部为什么这样建议

规格表只能帮你排除明显不合适的机器，真正的选择还要回到负载和用户路径。

别让第二个问题盖住第一个

把这件事拆成前后两段：前半段只处理“核对镜像来源和更新”和“创建最小权限管理员”，后半段才进入“限制 SSH 与开放端口”。这样出现新提示时，你知道它属于哪一次改动。

最后用“保存一份可恢复快照”收尾，并把失败时的状态也保留下来。这里最需要克制的是：不要在未验证备用登录前关闭唯一管理入口。

照这个顺序做

  1. 核对镜像来源和更新先核对下载来源、系统版本和权限，装错版本会让后面的步骤全部跑偏。
  2. 创建最小权限管理员每完成一步就确认界面或功能确实变化，不要连续点到最后才回头找问题。
  3. 限制 SSH 与开放端口遇到不同界面时先看版本，不要照着旧截图猜按钮。
  4. 保存一份可恢复快照完成后主动断开再恢复一次，能恢复才算真正配置好。

完成前再过一遍

  • 核对镜像来源和更新
  • 创建最小权限管理员
  • 限制 SSH 与开放端口
  • 保存一份可恢复快照
  • 从外部扫描只暴露预期端口，并能用备用方式恢复访问后再上线。

做到什么程度算完成

从外部扫描只暴露预期端口，并能用备用方式恢复访问后再上线。

有一个坑需要提前说

不要在未验证备用登录前关闭唯一管理入口。

价格、地区、版本和平台政策会变化；涉及这些信息时，请在操作当天重新核对官方页面。本文没有覆盖的地区或环境，不自动沿用同一结论。

读完通常还会问

新 VPS 安全设置第一步应该做什么？

核对镜像来源和更新

什么时候值得改用另一种方案？

从外部扫描只暴露预期端口，并能用备用方式恢复访问后再上线。

这篇文章依据什么

本文用《DigitalOcean Droplets 文档》核对实例类型、镜像与 Droplet 基础能力，再用《DigitalOcean Backups》确认备份、恢复和保留方式。两份资料解决的是不同事实边界；如果其中一份更新，应先重查对应段落，而不是只改页面日期。

DigitalOcean Droplets 文档
实例类型、镜像与 Droplet 基础能力；核验日期 2026-09-07。
DigitalOcean Backups
备份、恢复和保留方式；核验日期 2026-09-07。