然后执行：

apt update
apt upgrade

注意 non-free-firmware

从 Debian 12 开始，固件包被单独放入 non-free-firmware 组件。如果服务器网卡、无线设备或某些硬件依赖非自由固件，忘记添加这一项可能导致驱动异常。

生产环境建议

• 使用官方源或可信镜像源；
• 不要混用不同版本源；
• 不要长期启用不明第三方 PPA 或脚本源；
• 修改源之前备份 /etc/apt/sources.list；
• 关键服务器升级前先在测试机验证。

四、apt 使用避坑：update、upgrade、full-upgrade 区别要清楚

Debian 使用 apt 管理软件包，但很多人不理解几个命令的区别。

apt update

只更新软件包索引，不升级软件。

apt upgrade

升级已安装软件，但不会主动删除包或安装会改变依赖结构的新包。

apt full-upgrade

会根据依赖关系安装新包或删除旧包，适合大版本升级或复杂依赖变化场景。

生产环境建议

日常安全更新可以：

apt update
apt upgrade

但如果遇到内核、系统组件、关键依赖变化，要仔细看 apt 输出，尤其是：

The following packages will be REMOVED

一旦出现要删除关键软件包，例如 openssh-server、systemd、libc6、nginx、postgresql，不要直接确认，先排查原因。

自动清理也要谨慎

apt autoremove

可以删除不再需要的依赖包，但在生产环境中不要无脑执行。某些手动安装但未被标记的依赖可能被误删。执行前务必检查列表。

五、SSH 安全配置：默认可用不等于安全

Debian 默认安装 OpenSSH 后可以直接远程登录，但生产环境必须加固。

建议配置项

编辑：

vim /etc/ssh/sshd_config

建议设置：

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
Port 22

如果需要修改端口，可改为非默认端口，但不要把“改端口”当成核心安全措施。真正重要的是：

• 禁止 root 直接登录；
• 禁用密码登录；
• 使用密钥认证；
• 配合防火墙限制来源 IP；
• 使用 fail2ban 防暴力破解。

重启 SSH 前一定先开一个备用终端，不要关闭当前连接：

sshd -t
systemctl restart ssh

注意 Debian 中 SSH 服务名称通常是：

systemctl status ssh

而不是某些发行版里的 sshd。

六、网络配置：ifupdown、NetworkManager、systemd-networkd 不要混着用

Debian 服务器常见网络管理方式有：

• /etc/network/interfaces；
• NetworkManager；
• systemd-networkd。

生产服务器上最常见的是 /etc/network/interfaces 或 systemd-networkd。桌面环境更常见 NetworkManager。

避坑点

不要同时让多个网络管理工具接管同一个网卡，否则可能出现：

• IP 地址被覆盖；
• DNS 配置丢失；
• 重启网络后断连；
• 网卡状态异常。

传统 interfaces 示例

auto ens18
iface ens18 inet static
    address 192.168.1.10/24
    gateway 192.168.1.1
    dns-nameservers 223.5.5.5 8.8.8.8

重启网络前，建议使用控制台或云厂商 VNC，避免远程 SSH 断开后无法恢复。

systemctl restart networking

如果是在云服务器上，不同云厂商可能注入 cloud-init 网络配置，应先确认是否由 cloud-init 管理网络。

七、防火墙：nftables 已经是主流

Debian 12 默认更推荐 nftables，而不是传统 iptables。虽然 iptables 命令仍可能可用，但底层可能已经切换到 nft 后端。

建议

生产环境不要同时维护多套规则，例如：

• iptables；
• nftables；
• ufw；
• firewalld。

选择一种即可。

nftables 基础示例

安装并启用：

apt install nftables
systemctl enable --now nftables

配置文件：

vim /etc/nftables.conf

示例：

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
    chain input {
        type filter hook input priority 0;

        policy drop;

        iif lo accept
        ct state established,related accept

        tcp dport 22 accept
        tcp dport {80, 443} accept

        ip protocol icmp accept
    }

    chain forward {
        type filter hook forward priority 0;
        policy drop;
    }

    chain output {
        type filter hook output priority 0;
        policy accept;
    }
}

检查并加载：

nft -c -f /etc/nftables.conf
systemctl restart nftables

远程服务器配置防火墙时，务必提前确认 SSH 端口放行，否则很容易把自己锁在外面。

八、systemd 服务管理：不要只会 restart

Debian 生产环境基本都使用 systemd。除了 start、stop、restart，还应该掌握以下命令：

systemctl status nginx
systemctl enable nginx
systemctl disable nginx
systemctl reload nginx
systemctl daemon-reload
journalctl -u nginx
journalctl -xe

restart 和 reload 的区别

• restart：重启服务，通常会中断连接；
• reload：重新加载配置，通常不中断服务，前提是服务支持。

例如 Nginx 修改配置后，推荐：

nginx -t
systemctl reload nginx

而不是直接：

systemctl restart nginx

数据库、消息队列、在线业务服务尤其要谨慎使用 restart。

九、日志管理：不要等磁盘满了才处理

Debian 默认使用 systemd-journald，同时很多服务还会写入 /var/log。生产环境中，日志不加限制可能导致磁盘被写满。

查看 journal 占用

journalctl --disk-usage

限制 journald 日志大小

编辑：

vim /etc/systemd/journald.conf

设置：

SystemMaxUse=1G
RuntimeMaxUse=512M

重启：

systemctl restart systemd-journald

logrotate 也要关注

Debian 默认安装 logrotate，但第三方服务的日志未必自动配置轮转。比如自定义 Java 服务、Go 服务、Node.js 服务，如果直接输出到文件，需要配置 logrotate 或接入集中日志系统。

十、时间同步：生产环境必须校准时间

时间不准会导致很多问题：

• TLS 证书验证失败；
• 日志时间错乱；
• 分布式系统异常；
• 数据库复制异常；
• 定时任务执行偏差。

Debian 可使用 systemd-timesyncd 或 chrony。

推荐 chrony

apt install chrony
systemctl enable --now chrony
chronyc tracking

检查时间：

timedatectl

设置时区：

timedatectl set-timezone Asia/Shanghai

对于集群、数据库、Kubernetes 节点，时间同步尤其重要。

十一、安全更新：不要只装系统不维护

Debian Stable 的安全更新很可靠，但前提是你要及时安装。

手动更新

apt update
apt upgrade

自动安全更新

可以安装：

apt install unattended-upgrades apt-listchanges
dpkg-reconfigure unattended-upgrades

不过生产环境是否启用自动更新，要看业务类型。对于普通 Web 服务器，自动安全更新通常有利；对于数据库、高可用集群、强依赖固定版本的系统，建议先测试再批量更新。

内核更新后需要重启

很多包升级后立即生效，但内核升级通常需要重启。可用以下方式检查是否需要重启：

test -f /var/run/reboot-required && cat /var/run/reboot-required

不要长期不重启，否则内核漏洞补丁无法真正生效。

十二、Debian 上安装 Docker 的常见坑

很多人直接执行：

apt install docker.io

这会安装 Debian 仓库中的 Docker 版本，稳定但可能不是最新版。如果生产环境需要官方 Docker Engine，建议使用 Docker 官方源。

避坑建议

• 不要同时安装 docker.io 和官方 docker-ce；
• Docker 数据目录建议单独分区；
• 注意日志驱动，避免容器日志撑爆磁盘；
• 生产环境不要随意使用 latest 镜像标签。

限制 Docker 日志示例：

mkdir -p /etc/docker

cat > /etc/docker/daemon.json <

ulimit -n

systemctl edit postgresql

[Service]
LimitNOFILE=65535

systemctl daemon-reload
systemctl restart postgresql

sudo: command not found

user is not in the sudoers file

apt install sudo
usermod -aG sudo username

/usr/bin/python3 /opt/scripts/backup.py

SHELL=/bin/bash
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

0 2 * * * /opt/scripts/backup.sh >> /var/log/backup.log 2>&1

apt update
apt upgrade
apt full-upgrade

apt update
apt full-upgrade

apt autoremove
reboot

uptime
free -h
df -h
df -i
top
htop

systemctl status 服务名
journalctl -u 服务名
journalctl -xe

ip addr
ip route
ss -tunlp
ping
curl -I
dig
traceroute

lsblk
blkid
iostat
iotop
du -sh /*

apt update
apt list --upgradable
dpkg -l
apt-cache policy 包名