Debian 12初始化：换源加基础配置

我是小够。新买的 VPS 到手，别急着装面板、跑项目，先花 10 分钟做初始化。地基打歪了，后面全是坑。今天以 Debian 12（bookworm）为例，一步一步来。

第一步：换国内软件源

Debian 官方源在国外，国内服务器更新软件又慢又容易超时。换成国内镜像，速度起飞。以清华源为例，先备份原文件：

cp /etc/apt/sources.list /etc/apt/sources.list.bak

然后把 /etc/apt/sources.list 内容换成：

deb https://mirrors.tuna.tsinghua.edu.cn/debian/ bookworm main contrib non-free non-free-firmware
deb https://mirrors.tuna.tsinghua.edu.cn/debian/ bookworm-updates main contrib non-free non-free-firmware
deb https://mirrors.tuna.tsinghua.edu.cn/debian/ bookworm-backports main contrib non-free non-free-firmware
deb https://mirrors.tuna.tsinghua.edu.cn/debian-security bookworm-security main contrib non-free non-free-firmware

注意 Debian 12 新增了 non-free-firmware 组件（无线网卡之类的固件），别漏了。换完执行 apt update，不报错就是成功了。中科大、阿里云的镜像也可以，选离你近的。

第二步：系统更新升级

apt upgrade -y

新机器的系统镜像可能几个月没更新了，安全补丁先打上。这一步可能要几分钟，耐心等。升级完建议重启一次：reboot，让新内核生效。

第三步：设置时区

timedatectl set-timezone Asia/Shanghai

然后 date 看一眼，时间对不对。时区这事看着小，日志时间、定时任务全指着它，专门写过一篇《时区设置》，这里先设对就行。

第四步：基础安全三件套

改 SSH 端口（可选但推荐）：默认 22 端口天天被扫，改成 5 位数的高端口能挡掉 99% 的自动化扫描。改 /etc/ssh/sshd_config 里的 Port，重启 sshd 服务，记得防火墙先放行新端口再断开当前连接——顺序反了就把自己锁外面了。

配置密钥登录：密码再复杂也不如密钥。本地生成密钥对，公钥追加到服务器 ~/.ssh/authorized_keys，然后就可以考虑关掉密码登录。密钥文件自己保管好，丢了等于丢了服务器钥匙。

开防火墙：apt install -y ufw，然后 ufw allow 新SSH端口、ufw allow 80、ufw allow 443，最后 ufw enable。默认拒绝其他所有入站，机器瞬间清净。

新建 sudo 用户（推荐）

默认用 root 操作一时爽，出事火葬场。新建一个日常用户，配 sudo 权限：

adduser xiaogou
usermod -aG sudo xiaogou

以后日常操作都用这个用户登录，需要 root 权限时前面加 sudo。root 只做救火队员，不当日常司机——这是 Linux 安全的第一课。

SSH 密钥登录：详细步骤

在你自己的电脑上生成密钥对（没生成过的话）：

ssh-keygen -t ed25519 -C "my-vps"

一路回车，公钥在 ~/.ssh/id_ed25519.pub。把公钥内容追加到服务器：

mkdir -p ~/.ssh
echo "你的公钥内容" >> ~/.ssh/authorized_keys
chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys

然后在新开一个终端测试密钥登录，确认能登上后，再去 /etc/ssh/sshd_config 把 PasswordAuthentication 改成 no，重启 sshd。注意顺序：先确认密钥能用，再关密码——反了就把自己锁外面了。

装上常用工具

apt install -y curl wget vim htop git unzip

这几个是小够的装机必备：curl/wget 下文件，vim 编辑配置，htop 看资源，git 拉代码，unzip 解压。一次装好，免得用时现找。

一句话总结

初始化四步：换源、升级、设时区、做安全。10 分钟，换来一台干净、快速、安全的机器。把这四步做成你自己的 checklist，每买一台新机器照着走一遍，永远不会漏。