1.
准备与前提
- 选择支持菲律宾节点的云或机房，确认公共IP、私有网络、是否提供VPC、快照与控制台权限。
- 准备要安装的操作系统（建议Ubuntu 22.04或CentOS 7/8），准备SSH key对（id_rsa/id_rsa.pub）。
- 确认需要开放的服务端口（如SSH 22、HTTP 80、HTTPS 443、应用端口等）。
2.
购买实例与基础网络拓扑
- 在云控制台选择菲律宾机房或PH机房提供商，创建VPC/网络并设置子网（例如：10.0.1.0/24）。
- 为实例分配静态私有IP与弹性公网IP（EIP），记录网关与DNS（如云提供的DNS或8.8.8.8）。
- 在控制台确认安全组/网络ACL初始规则，建议仅允许管理端口（SSH）来自你的办公IP。
3.
实例初始登录与系统更新
- 使用SSH key登录：ssh -i ~/.ssh/id_rsa ubuntu@EIP。
- 更新系统：Ubuntu: sudo apt update && sudo apt upgrade -y；CentOS: sudo yum update -y。
- 创建非root管理用户并添加sudo权限：sudo adduser ops && sudo usermod -aG sudo ops。
4.
主机网络配置（Ubuntu示例）
- 若云内使用DHCP通常无需修改，若需静态IP使用netplan：/etc/netplan/00-installer-config.yaml 示例：
network: {version: 2, renderer: networkd, ethernets: {eth0: {addresses: [10.0.1.10/24], gateway4: 10.0.1.1, nameservers: {addresses: [8.8.8.8,8.8.4.4]}}}}
- 应用配置：sudo netplan apply。验证：ip addr show eth0；ping 8.8.8.8。
5.
主机网络配置（CentOS示例）
- 编辑 /etc/sysconfig/network-scripts/ifcfg-eth0，设置静态IP、PREFIX、GATEWAY、DNS1。
- 重启网络：sudo systemctl restart network；验证：ip a、route -n、cat /etc/resolv.conf。
6.
云端安全组/网络ACL设置
- 在云控制台设置入站规则：仅允许管理IP访问SSH（端口22），应用端口针对公网需求开放80/443。
- 出站策略一般允许全部，若需限制可设置只允许目标IP/端口。
- 建议创建针对不同环境的安全组（prod/web/db）并在实例级别绑定。
7.
主机防火墙：Ubuntu 使用 UFW
- 安装/启用：sudo apt install ufw -y；sudo ufw default deny incoming；sudo ufw default allow outgoing。
- 允许SSH（只允许管理IP示例）：sudo ufw allow from 203.0.113.10 to any port 22 proto tcp。
- 允许HTTP/HTTPS：sudo ufw allow 80/tcp；sudo ufw allow 443/tcp。启用并检查：sudo ufw enable；sudo ufw status verbose。
8.
主机防火墙：CentOS 使用 firewalld 或 iptables
- firewalld 示例：sudo systemctl enable --now firewalld；开放端口：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.10" port protocol="tcp" port="22" accept'；sudo firewall-cmd --permanent --add-service=http；sudo firewall-cmd --reload。
- 若使用 iptables，写入持久规则并保存：iptables -A INPUT -p tcp --dport 22 -s 203.0.113.10 -j ACCEPT；iptables -A INPUT -p tcp --dport 22 -j DROP；service iptables save。
9.
SSH 安全加固
- 禁用密码登录与root远程登录：编辑 /etc/ssh/sshd_config，设置 PasswordAuthentication no、PermitRootLogin no、Port 22（或改为非标准端口）。
- 重启SSH：sudo systemctl restart sshd。测试新配置前保留现有会话以防锁死。
- 建议使用公钥认证并设置AuthorizedKeysFile、并在云控制台启用2FA或密钥管理。
10.
防暴力破解：Fail2Ban 与 SSH 限速
- 安装：sudo apt install fail2ban -y。创建 /etc/fail2ban/jail.local 示例：
[sshd] enabled = true; port = 22; filter = sshd; maxretry = 5; bantime = 3600。重启：sudo systemctl restart fail2ban。
- 在 ufw 中可对SSH做rate-limit：sudo ufw limit ssh/tcp。
11.
NAT、端口转发与网关场景
- 若实例做为NAT或转发器，启用内核转发：sudo sysctl -w net.ipv4.ip_forward=1，并写入 /etc/sysctl.conf。
- iptables 示例（将端口80转发到本地8080）：sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080；保存规则以持久化。
- 若有多个子网，配置路由表并在VPC中添加静态路由或NAT网关。
12.
测试、监控与备份
- 测试端口：ss -tuln、sudo ufw status、nmap -Pn EIP -p 22,80,443。
- 部署监控（Prometheus + node_exporter / 云监控）、设置告警（CPU、带宽、磁盘）。
- 定期快照/镜像，配置自动备份策略与恢复演练（恢复时间与数据一致性测试）。
13.
常见故障排查步骤
- 无法SSH：检查安全组/网络ACL、主机防火墙、sshd服务状态（sudo systemctl status sshd）、云控制台串口日志。
- 外网无法访问应用：检查云端安全组是否开放对应端口、ufw/firewalld是否允行、应用监听地址是否为0.0.0.0。
- 路由/网关问题：检查路由表、网关IP、iptables FORWARD 策略与内核转发开关。
14.
合规、延迟与本地化考虑
- 若面向菲律宾用户，优先选择PH或邻近区域（菲律宾ISP/机房）以降低延迟。
- 考虑数据主权与合规要求（个人资料保护、日志保留）并在当地保存必要审计日志。
- 使用CDN（在PH有节点的提供商）加速静态内容，减轻源站带宽压力。
15.
运维自动化建议
- 使用Terraform/CloudFormation管理VPC、子网、安全组与实例，保证可复现。
- 用Ansible或脚本化部署防火墙、ssh配置与监控agent，避免人工差异。
- 将机密（SSH私钥、API Keys）放入Vault或云密钥管理服务中。
16.
Q1：把服务器限制只允许菲律宾IP访问，有什么实用方法？
- 回答：在云端安全组或网络ACL中以菲律宾IP段（可从区域IP段服务获取）添加允许规则，并在主机防火墙（ufw/firewalld/iptables）做二次限制。注意IP段可能有变动，建议用CDN或第三方IP数据库做动态更新并保留管理与运维IP白名单。
17.
Q2：出现端口已开放但外网连不上，如何排查？
- 回答：按顺序检查（1）云安全组/ACL是否允许该端口（入站）；（2）主机防火墙（ufw/firewalld/iptables）规则；（3）应用是否监听正确地址（0.0.0.0）；（4）路由与NAT设置；（5）使用nmap或telnet从外部验证连通性，并查看云控制台的网络流量日志。
18.
Q3：对于菲律宾地区运维，有没有额外的注意事项？
- 回答：关注本地网络质量与ISP差异、备份到邻近区域以防机房故障、检查合规法规与数据保留要求，并优先选择在菲律宾或东南亚有良好互联的云/机房提供商，同时使用CDN与多区域容灾。
来源：运维指南云之行怎么设置菲律宾服务器 包括网络与防火墙配置
