游戏服务器是最容易被盯上的机器之一：端口长期对外开放、进程常驻 24 小时、管理员往往是"会开服但不太懂运维"的玩家。我见过太多人的服务器最后变成别人的挖矿机，或者存档被勒索删库。

这篇不讲理论，只给能直接照抄的操作清单。Windows 和 Linux 两套都给。

📌 相关阅读：NAT 端口映射完全指南｜存档备份与自动维护｜卡顿掉线排查手册

一、为什么游戏服务器特别危险

侥幸心理是最贵的成本。 下面这些操作加起来花不了 30 分钟。

二、Linux 加固（Ubuntu / Debian）

1. 别用 root 跑游戏服

# 建专用用户
sudo adduser gamesrv
sudo usermod -aG sudo gamesrv   # 需要时给 sudo，不需要就不给
sudo su - gamesrv

所有服务端都装在这个用户目录下。就算被入侵，破坏范围也限制在这个用户。

2. SSH 四件事

编辑 /etc/ssh/sshd_config：

Port 22922                  # 1) 改掉默认 22 端口
PermitRootLogin no          # 2) 禁止 root 直接登录
PasswordAuthentication no   # 3) 改用密钥登录（先配好密钥再改这项！）
MaxAuthTries 3

sudo systemctl restart sshd

密钥登录配置（本地机器上执行，别在服务器里做）：

ssh-keygen -t ed25519                       # 本地生成
ssh-copy-id -p 22922 gamesrv@你的服务器IP   # 传公钥

⚠️ 顺序别搞反：先确认密钥能登录成功，再关掉密码登录。不然你会把自己锁在门外。

3. 防火墙只开需要的端口

sudo ufw default deny incoming
sudo ufw allow 22922/tcp        # SSH 新端口
sudo ufw allow 27015/udp        # 游戏端口，按你的游戏改
sudo ufw enable
sudo ufw status verbose

原则：只放开游戏真正用到的端口 + SSH。 数据库端口（3306）、Redis（6379）这类绝对不要对外开放。

4. 装 fail2ban 防暴力破解

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

默认规则已经够用：同一 IP 连续密码错误 5 次就封 10 分钟。

5. 自动安全更新

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades   # 选 Yes

只装安全补丁，不会半夜给你升系统版本搞崩环境。

6. 权限收一收

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod -R 750 ~/游戏服务端目录

三、Windows 加固（Windows Server / Win10/11）

1. 远程桌面（RDP）三件事

改端口（注册表）：

# 把 3389 改成 33389
Reg Add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 33389 /f
Restart-Computer

强密码 + 账户锁定策略（gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 账户策略）：

• 密码长度最小值：12
• 账户锁定阈值：5 次无效登录
• 账户锁定时间：30 分钟

禁用不必要的账户：

Get-LocalUser | Where-Object {!$_.Enabled} | Format-Table Name,Enabled
net user Guest /active:no

2. 防火墙最小化

# 只放行必要端口（管理员 PowerShell）
netsh advfirewall firewall add rule name="SSH" dir=in action=allow protocol=TCP localport=22
netsh advfirewall firewall add rule name="GameUDP" dir=in action=allow protocol=UDP localport=27015
# 查看已开放的入站规则
Get-NetFirewallRule -Direction Inbound -Enabled True | Select-Object DisplayName,LocalPort

把安装盘符共享、SMB（445）、远程注册表这类默认开放的服务能关就关。

3. 游戏服别用 Administrator 跑

用 NSSM 部署服务时，在 "Log On" 标签页指定一个普通用户账号，而不是默认的 LocalSystem / Administrator。

nssm install PalServer "C:\GameServer\PalServer.exe"
nssm set PalServer ObjectName .\gamesrv 密码
nssm start PalServer

4. Windows Update 定时重启设成非高峰

# 设置活跃时间为 2:00-6:00（避免白天自动重启）
Reg Add "HKLM\SOFTWARE\Microsoft\WindowsUpdate\UX\Settings" /v ActiveHoursStart /t REG_DWORD /d 2 /f

Windows 自动重启是开服最大的隐形杀手之一，一定要把活跃时间设开，或者改成"下载但让我选择何时安装"。

四、游戏层面的安全（两个系统通用）

1. RCON 密码必须强，且尽量不对外

最稳妥的做法：RCON 端口不放进端口映射，只在服务器本机用 rcon 命令或面板操作。这样外网根本摸不到它。

2. 管理员密码 ≠ 服务器密码

• 服务器进服密码：可以告诉朋友
• 管理员 / RCON 密码：只有你自己知道，且和进服密码不同

3. 关闭不必要的"便利功能"

• sv_allowupload 1（Source 系）→ 改 0，否则别人能传文件上来
• sv_allowcslua（GMod）→ 保持 0
• 所有游戏的"允许远程文件下载"类选项，如非必要一律关

4. 版本更新要跟上

开服三大件（Steam 服务端、系统、运行库）每次大版本都要更新。旧版本不仅有已知漏洞，还会出现"玩家更新了进不来服"的尴尬。

五、DDoS 打过来了怎么办

先分清是 DDoS 还是配置问题：

# 看连接数和流量
sudo netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -20
sudo iftop

能做的自救：

1. 换端口（改游戏端口 + 重新映射），大多数小规模攻击不会追着换
2. 服务器列表隐藏：把公开服改成密码服，只在群里发连接方式
3. 联系服务商：正规机房有流量清洗能力，这也是选服务商时要问清楚的一点

做不到的：单靠一台普通云服务器硬扛大流量攻击是不现实的。如果你开的是公开服，选机器时优先问清楚"有没有基础 DDoS 防护"。

六、30 分钟安全清单（照着打勾）

Linux

• [ ] 新建非 root 用户跑游戏服
• [ ] SSH 改端口 + 禁 root + 密钥登录
• [ ] ufw 默认拒绝入站，只开必要端口
• [ ] 装 fail2ban
• [ ] 开 unattended-upgrades
• [ ] RCON 端口不映射或强密码

Windows

• [ ] RDP 改端口 + 强密码 + 账户锁定策略
• [ ] 防火墙只开必要端口
• [ ] NSSM 服务用普通账号运行
• [ ] 关闭自动重启 / 设置活跃时间
• [ ] 关闭不必要的共享与 SMB

通用

• [ ] 存档自动备份（本地 + 异地）
• [ ] 管理员密码与进服密码不同
• [ ] 关闭文件上传类功能
• [ ] 记下服务商的防护能力与联系方式

七、结语

开服这件事，好玩的部分在于和朋友一起玩，麻烦的部分在于运维。安全加固是那种"做了没感觉，没做会出大事"的事——花半小时做完，后面几个月都能安心睡觉。

📌 觉得有用的话收藏一下，开服遇到问题可以在评论区交流。
想要省掉这些运维琐事，可以看看 财富云计算 的游戏云服务器，NAT 型性价比高，适合和朋友长期开黑挂服。

延伸阅读

1. 网站环境怎么选：LNMP 手动 / 宝塔面板 / Docker / 云开发
2. 问卷表单系统搭建：SurveyKing / Formbricks，数据自己收
3. 图床搭建：Lsky Pro / Lychee，自托管图片托管方案
4. 邮件列表搭建：listmonk 自托管 Newsletter，把读者握在自己手里
5. 文档站点搭建：MkDocs / VuePress / Docsify，产品文档与技术手册方案
6. RSS 阅读器搭建：FreshRSS 自托管，把信息流拿回自己手里
7. 短链接服务搭建：Shlink 自托管，链接数据自己掌握
8. 网站状态监控页搭建：Uptime Kuma，服务器挂了第一时间知道

更多阅读

1. 上一篇：V Rising夜族崛起开服保姆级教程（Linux版）：Wine部署与配置保存要点
2. 下一篇：NAT型云服务器 vs 独立IP服务器：游戏开服到底该选哪个？