买了 VPS 之后小白该做什么：加固、回程检测与流媒体测试-FishWithCat

本文面向国内用户刚买到一台 VPS、想从零把机器用稳的小白：默认场景是海外通用机 + Ubuntu 22.04/24.04 LTS（或 Debian 12）。你会按「防把自己锁在门外」的顺序完成登录、更新、防火墙与 SSH 加固，再学去程/回程怎么测、怎么用 ASN 读懂 CN2 / 163 / 9929 / CMI，以及流媒体地区检测结果该怎么读。命令以 Ubuntu/Debian 为主，Rocky / Alma / CentOS Stream 用 dnf / firewalld 时会并列注明。安装命令与官方文档会变，动手前请再打开官网核对。

⚠️ 风险与合规：改 SSH 端口、关密码、开防火墙时操作顺序错了，很容易把自己锁死；云厂商控制台往往还能救，但别赌。VPS 不要当垃圾邮件、扫描、撞库跳板——很快进黑名单且可能被停机。国内云若对公众提供网站等服务，一般需完成 ICP 备案（以当地法规与厂商文档为准）；海外机仍须遵守你所在地法律与服务商 AUP。流媒体检测只解释「出口 IP 被识别成哪一区」，不是破解、共享账号或免费看会员内容的教程。由此带来的账号损失、停机或法律风险需自行承担。

一、先记住：最稳的新手路径

按顺序做，宁可慢，不要锁门：

顺序	做什么	为什么
1	云控制台确认安全组已放行当前要用的 SSH 端口；记下初始密码或密钥	系统里防火墙改完后，云侧没放行等于锁死
2	用密钥登录成功；保留当前 SSH 会话不要关	后续改配置出错还能回退
3	系统更新；设时区 `Asia/Shanghai`、主机名；确认时间同步	日志、证书、排障都依赖正确时间
4	配防火墙（UFW / firewalld），先放行 SSH 再 enable	防扫描与误暴露端口
5	（可选）改 SSH 端口 → 云安全组同步 → 新会话验证 → 再收紧旧规则	降低脚本扫描噪音；不是银弹
6	确认密钥登录稳妥后，再关密码登录 / 限制 root	最关键的加固
7	（可选）fail2ban、自动安全更新	减暴力破解与补丁滞后
8	测延迟 / 丢包 / 回程；需要时再测流媒体地区检测	先搞清「能不能用、稳不稳」
9	备份思路；面板能不装先不装	面板 = 便利 + 攻击面
10	国内云做网站 → ICP 备案；海外机合规使用、别发垃圾邮件	合规红线

最推荐的新手默认栈（海外通用机）：

系统：Ubuntu 22.04 / 24.04 LTS（或 Debian 12）
登录：SSH 密钥 + 普通用户 sudo；密码登录最后关
防火墙：UFW，只开 SSH（及日后 80 / 443）
时间：timedatectl + 系统自带 timesyncd / chrony
测网：mtr + NextTrace；测机：YABS（yabs.sh）
面板：默认不装；要图形管理再考虑 1Panel / 宝塔，并严格更新与端口隔离

💡 改端口 ≠ 安全。 基本盘是：密钥登录 + 关密码 + 防火墙 + 及时更新。下文每一步都会把「防锁死」再强调一遍。

二、登录前：先看云控制台（两层过滤）

无论海外还是国内云，通常有两层过滤：

云安全组 / Network ACL（控制台）
系统内防火墙（UFW / firewalld）

两边都要放行你真正要用的端口，只改一边不够。

注意点：

改 SSH 端口时：先在安全组放行新端口，再改 sshd，再用新会话验证，最后才删旧端口规则。
SSH 入站尽量限制为你的固定公网 IP / IP 段，避免 0.0.0.0/0 长期裸奔（动态家宽可临时全开，回家再收紧）。
国内云（阿里云 / 腾讯云等）对 25 端口出站常默认限制（防垃圾邮件），发信需申请或走第三方 SMTP。
国内云服务器若对公众提供网站等服务，一般需完成 ICP 备案（以当地法规与厂商文档为准）。

参考：

腾讯云备案说明：https://cloud.tencent.com/document/product/243/18908
阿里云安全组入门：https://help.aliyun.com/zh/ecs/user-guide/start-using-security-groups

用商家邮件里的 IP / 用户名 / 密码（或控制台写入的公钥）先登录一次：

ssh root@你的服务器IP
# 若商家已建普通用户，优先用那个用户 + sudo

⚠️ 登录成功后，先别急着关这个窗口。后面所有「改端口 / 关密码 / 开防火墙」都建议：旧会话留着，另开一个终端验证。

三、系统更新、时区、主机名

1. 区分发行版命令

操作	Ubuntu / Debian	CentOS Stream / Rocky / Alma（dnf）
更新	`sudo apt update && sudo apt full-upgrade -y`	`sudo dnf upgrade -y`
防火墙	`ufw`	`firewalld`（`firewall-cmd`）
装工具	`sudo apt install -y …`	`sudo dnf install -y …`
SSH 服务名	多为 `ssh`（`systemctl reload ssh`）	多为 `sshd`（`systemctl reload sshd`）

部分云镜像把 OpenSSH 服务名统一成 sshd；以 systemctl status ssh / sshd 实际为准。

2. 更新

# Ubuntu/Debian
sudo apt update && sudo apt full-upgrade -y
sudo apt autoremove -y

# Rocky/Alma/CentOS Stream
sudo dnf upgrade -y

建议同时开启自动安全更新（Ubuntu）：

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

3. 时区与 NTP（国内用户常用上海）

timedatectl
sudo timedatectl set-timezone Asia/Shanghai
timedatectl status

时间同步：Ubuntu 常见 systemd-timesyncd，或用 chrony（以镜像为准）：

sudo apt install -y chrony
sudo systemctl enable --now chrony
chronyc tracking
# 或： timedatectl show-timesync

4. 主机名

sudo hostnamectl set-hostname my-vps
hostnamectl
# 可选：把短主机名写进 /etc/hosts 的 127.0.1.1 行，避免 sudo 抱怨

四、SSH 密钥：先做稳，再关密码

1. 本地生成密钥（若还没有）

ssh-keygen -t ed25519 -C "your@email"
# 把 ~/.ssh/id_ed25519.pub 内容拷到服务器

2. 服务器侧（首次仍可用密码登录时）

mkdir -p ~/.ssh && chmod 700 ~/.ssh
# 将公钥追加到 authorized_keys（一行一个公钥）
nano ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

云厂商控制台「写入 SSH 公钥」通常更省事。验证：

ssh -i ~/.ssh/id_ed25519 user@服务器IP

💡 铁律：密钥登录已经成功、且你还留着至少一个能进机器的会话之前，不要关密码登录，也不要把 PermitRootLogin 改成 no（除非你已经用普通用户 + sudo 验证过）。

五、防火墙：先放行 SSH，再 enable

1. UFW（Ubuntu / Debian，推荐新手）

sudo apt install -y ufw
# 若 SSH 仍是 22：
sudo ufw allow OpenSSH
# 若已改到 2222（见下一节）：
# sudo ufw allow 2222/tcp comment 'SSH'
sudo ufw enable
sudo ufw status verbose

日后开网站再放行：

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

2. firewalld（Rocky / Alma / CentOS）

sudo dnf install -y firewalld
sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=ssh
# 或自定义端口：
# sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

⚠️ enable 之前必须已经放行 SSH。 开完立刻用另一个终端再连一次；连不上就别关旧会话，先在旧会话里 ufw disable / 查规则，同时检查云安全组。

六、（可选）改 SSH 端口，再关密码 / 限制 root

改端口能降低脚本扫描噪音，但不是银弹；顺序错了照样锁死。

1. 改端口（示例 `2222`）

云安全组先放行 2222/tcp（旧的 22 先留着）。
系统防火墙也先放行新端口（见上一节）。
备份并改配置：

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F)
# Ubuntu 还可能有 /etc/ssh/sshd_config.d/*.conf，一并留意

# 推荐写独立片段（Ubuntu/Debian）
sudo tee /etc/ssh/sshd_config.d/00-port.conf >/dev/null <<'EOF'
Port 2222
EOF

sudo sshd -t
# Ubuntu/Debian 常见：
sudo systemctl reload ssh
# RHEL 系常见：
# sudo systemctl reload sshd

新开终端验证：

ssh -p 2222 -i ~/.ssh/id_ed25519 user@服务器IP

成功后，再收紧安全组与 UFW 里的旧 22 规则。

2. 关闭密码登录 / 限制 root（密钥稳妥之后）

Ubuntu 云镜像常有 cloud-init 写入的 PasswordAuthentication yes（例如 50-cloud-init.conf）。用编号更小的片段覆盖，并用 sshd -T 看生效值：

sudo tee /etc/ssh/sshd_config.d/01-hardening.conf >/dev/null <<'EOF'
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
KbdInteractiveAuthentication no
EOF

sudo sshd -t
sudo sshd -T | grep -iE 'permitrootlogin|passwordauthentication|pubkeyauthentication'
sudo systemctl reload ssh   # 或 sshd

⚠️ 务必另开会话确认仍能登录，再断开旧会话。若 sshd -T 仍显示 passwordauthentication yes，说明有更早生效的设置、Include 顺序或 Match 条件等影响了结果（多数选项采用首次取得的值，并非编号越大越优先）——去 /etc/ssh/sshd_config.d/ 里找并处理，不要以为「写了片段就一定生效」。

3. （可选）fail2ban

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status
sudo fail2ban-client status sshd

若已改 SSH 端口，需在 /etc/fail2ban/jail.local 里让 jail 监听对应端口，然后 systemctl restart fail2ban。

七、网络验收：先分去回程，再按你家运营商对号入座

先说清楚：下文「最好 → 次优 → 较差」是社区经验中的相对优先级，不是运营商官方排名，更不是 SLA。 同一线路会受机房位置、目的省份、时段、互联容量与商家超售影响。优先看 ASN（AS 号），IP 前缀只作辅助；单个 AS、脚本自动标签也不能证明购买了某种商业产品。真正的验收标准是：到你家，晚高峰是否稳定。所有示例均为教学占位，不是本文实际跑分。

1. 我现在测的是去程，还是回程？

名称	数据方向	在哪里跑、测谁
去程	国内电脑 → VPS	在你家的电脑上，对 VPS 公网 IP 跑 NextTrace / mtr；Windows 可先用 `tracert` 看基础跳点
回程	VPS → 国内电脑	SSH 登录 VPS，对你家公网 IP 跑 NextTrace / mtr
多地去程	国内探测点 → VPS	站长工具、IPIP 等国内节点测 VPS，不能直接当作 VPS 回程
机房回程参考	机房 → 你家	商家 Looking Glass；只代表该探测机，不一定与你的 VPS 同路由

例子：你在家里执行追踪，看见 AS4134，只能说去程像电信普通线路；还得登录 VPS 反过来测，才知道回程是不是 CN2。互联网路由经常不对称，「回程 GIA」不等于「双向 GIA」。回程对下载、网页内容、视频的数据传输很重要，但 TCP 通信依赖两个方向，去程也不能忽略。

追踪显示的是探测包向目标走的跳点；延迟是往返时间（RTT），mtr 的回复丢失也受反向路径影响，不是纯粹单向延迟/丢包。即使在 VPS 测回程，读数也不能当作单向指标。

新手按这个顺序做：

确认自己家宽是电信、联通还是移动；测家宽时暂时退出会接管流量的代理/TUN，避免测到别的出口。
本地电脑测 VPS：这是去程。
VPS 测你家公网 IP：这是回程。家里若处于运营商大内网（CGNAT）或不响应探测，改用同省、同运营商的可信探测点；结果只是参考，不等于测到了你家最后一公里。不要为测速关闭家用路由器防火墙。
白天测一次，**20:00–23:00（Asia/Shanghai，上海时间）**再测，连续两三天；IPv4、IPv6 分开验收。

2. 工具怎么装、命令在哪里跑？

下列安装命令在 VPS（Ubuntu / Debian） 上运行；本地去程检测需要在本地另装对应系统版本，不要把 Linux 安装命令粘到 Windows CMD。

sudo apt install -y mtr-tiny iputils-ping traceroute curl
# Rocky/Alma 等：sudo dnf install -y mtr iputils traceroute curl

# NextTrace：先下载、阅读，确认来源再执行
curl -fsSL https://nxtrace.org/nt -o nt.sh
less nt.sh
bash nt.sh
nexttrace --help

NextTrace 官方仓库：https://github.com/nxtrace/NTrace-core

# 【本地电脑】去程：把 VPS公网IP 换成真实地址
nexttrace VPS公网IP

# 【VPS 终端】回程：把 家宽公网IP 换成你自己的真实地址
nexttrace 家宽公网IP
ping -c 50 家宽公网IP
mtr -rwzc 100 家宽公网IP
# -r 报告模式，-w 宽表，-z ASN（版本支持时），-c 发包轮数

# 目标确有 TCP 443 服务、且允许探测时，可换 TCP 辅助排障
nexttrace -T -p 443 目标IP
mtr -T -P 443 -rwzc 100 目标IP
# 参数以本机 --help 为准；家宽没开 443，TCP 终点不响应也正常

目标地址不要原样照抄占位文字。家宽公网 IP、商家控制台截图等不要公开晒出；发给别人排障时记得脱敏。

3. 先看一张浓缩表：你家宽带决定你先看哪一行

以下只比较本网回程，每行从左到右是社区常见的相对优先级，不横向评选三家运营商谁「绝对第一」。

你家宽带	最好／优先关注	次优／性价比	较差／优先排查
电信	CN2 GIA 形态：骨干较长时间走 AS4809	CN2 GT 形态：AS4809 + AS4134	普通 163（AS4134）高峰拥堵；更需警惕绕路、弱互联
联通	9929 / CUII：常见 AS10099 → AS9929	普通 169 / 4837：AS4837，也可能经 AS10099	第三方 transit 接入 4837 且高峰拥堵、绕路的组合
移动	CMIN2：社区常关联 AS58807	CMI：常见 AS58453 → AS9808，亚太方向常够用	明显绕路、弱互联或跨网交接不佳

「较差」不是看到一个 ASN 就判死刑。 普通 163 也可能满足轻量用途；第三方上游 NTT / Cogent 等本身不是「垃圾」证明；正常地理绕行也要结合机房位置解释。真正该退换或找商家的，是你实际使用时持续卡顿、终点丢包、吞吐不达需求，不是名字不够高级。

4. 电信用户：重点辨认 CN2 和普通 163

相对档位	常见叫法	看回程时关注什么
最好（经验）	CN2 GIA	国际与国内骨干较长时间出现 AS4809，不是只闪现一跳 CN2；末端进入省网/城域网正常
次优	CN2 GT	常见 AS4809 与国内多跳 AS4134 混合，高峰仍可能堵在普通骨干段
较差风险	普通 163 / ChinaNet	主要走 AS4134；是否值得买，要看目的省份晚高峰实测
更应警惕	绕远、互联拥堵	明显不合理地绕行，或延迟/丢包持续恶化到终点；不能靠换更大带宽套餐自动解决

辅助 IP 线索：59.43.* 常与 CN2 相关，202.97.* 常见于电信骨干，但不能只靠前缀定性。

**不确定边界：**上面的 GIA / GT 是社区根据路由归纳的常见形态，不是与路由逐跳一一对应的官方定义；隐藏跳点、ASN 数据库误差、商家产品命名都会影响判断。单靠 AS4809 不能认证 GIA，不能推断双向优化。 CTGNet（AS23764）与传统 GIA 是否等价说法不一，本文不把它直接排进 GIA 档。

5. 联通用户：先看 9929，再看 4837 是否够用

相对档位	常见叫法	看回程时关注什么
最好（经验）	9929 / CUII	常见 AS10099（CUG）→ AS9929，国际/骨干段通常是卖点
次优／性价比	普通 169 / 4837	AS4837，也可经 AS10099；带宽、价格与实际高峰表现一起看
较差风险	第三方上游 → 4837 且拥堵	不能只看上游名字；结合绕路、终点丢包与到家下载判断

末端出现 AS4837 不代表是假 9929。 家宽最终仍可能通过普通省网/城域网接入；重点看国际和骨干段。219.158.*、218.105.* 等只能辅助识别。只看到 AS10099 也不能断定后面一定是 9929，它还可能交给 4837。

6. 移动用户：先关注本网 CMI / CMIN2

相对档位	常见叫法	看回程时关注什么
最好（社区经验）	CMIN2	常关联 AS58807，后续进入国内网；需验证自己的省份与晚高峰表现
次优／常见够用	普通 CMI	常见 AS58453 → AS9808（国内 CMNET），香港/亚太方向可能很合适
较差风险	绕路／弱互联／跨网质量差	名字写「移动优化」也不够，仍看真实路径和终点表现

CMIN2 的官方公开产品细节较少，这里沿用社区称呼，不保证「有 AS58807 就一定最好」。223.120.* 等 IP 前缀不足以区分 CMI/CMIN2；只看到 AS9808、没看到国际段，也可能是跳点隐藏，不应直接判差。

7. 跨网例外：三网 9929、移动走 CN2，要另看

电信/移动用户买「三网 9929」：可能先走联通精品，再在国内跨网交付；最终表现受省际与跨网互联影响，不能套用联通本网「9929 最好」的结论。
移动用户走电信 CN2：价格高不代表适合你，国内跨网可能把优势抵消；应与本网 CMI/CMIN2 实测对比。
三网优化：必须分别测到你关心的电信、联通、移动目标；一条电信好看的路线不能代表三网。

如果你家是移动，就先看移动表，再拿到你所在省移动的实测验收；不要因为海报写了「GIA」就认定它比所有 CMI 更适合你。

8. 看示例：怎样算「好看」，怎样算「垃圾」？

以下全部为手工构造的示意／占位输出，不是真实 VPS 测试，不是某运营商的性能承诺。 IP 中的字母、家宽IP、ASXXXX 不能执行；格式为便于教学已简化。例子只解释读法，不证明任何商家线路。数字不是你的机器应达到的标准。

示意 A：相对「好看」的电信回程 + mtr 摘要

【示意／占位】在 VPS 上 nexttrace 家宽IP；延迟均为虚构 RTT
跳  地址（占位）     ASN       说明             RTT
1   10.0.0.1         ASXXXX    机房内网          0.5 ms
2   上游IP           ASXXXX    机房上联          1 ms
3   59.43.a.b        AS4809    CN2               130 ms
4   59.43.c.d        AS4809    CN2               132 ms
5   59.43.e.f        AS4809    CN2               135 ms
6   省网IP           ASXXXX    省网/城域         140 ms
7   家宽IP           —         终点              142 ms

【示意／占位】mtr -rwzc 100 家宽IP（简化节选）
HOST                 Loss%   Snt    Avg     Best    Wrst
中间路由（ICMP限速）   60.0%   100    132     130     140
后续路由               0.0%   100    135     132     142
家宽IP（终点）         0.0%   100    142     139     148

**怎么读：**路径较长时间处于 AS4809，可作为「CN2 GIA 形态」的线索，但不足以认证产品。mtr 中间一跳丢 60%、后面和终点不丢，更像路由器对探测回复限速，不是业务丢了 60%。示例里的 142 ms 也不是「好线路统一标准」——香港与美国机房的物理距离不同。

示意 B：读者口中的「垃圾」体验——普通回程叠加高峰拥堵

【示意／占位】NextTrace 简化节选，非真实测量
跳  地址（占位）     ASN       说明             RTT
1   10.0.0.1         ASXXXX    机房内网          0.5 ms
2   上游IP           AS174     第三方上游        2 ms
3   202.97.a.b       AS4134    普通163           180 ms
4   202.97.c.d       AS4134    普通163           190 ms
5   202.97.e.f       AS4134    普通163           220 ms
6   省网IP           ASXXXX    省网              240 ms
7   家宽IP           —         终点              245 ms

【示意／占位】mtr -rwzc 100 家宽IP（简化节选）
HOST                 Loss%   Snt    Avg     Best    Wrst
202.97.c.d            8.0%   100    190     170     260
202.97.e.f            8.0%   100    215     180     280
家宽IP（终点）        8.0%   100    240     200     310

**怎么读：**主要走 AS4134，且丢包延续到终点、延迟起伏明显，值得怀疑拥堵；问题不是「看到 AS174/AS4134 就垃圾」。仍要排除终点限速、防火墙与反向路径影响，换时段/探测协议，并结合真实业务下载确认，不能只凭 mtr 给某个中间路由定责。

联通的结构对照也可这样看（仍是示意／占位）：

优先关注：… → AS10099 → AS9929 → 省网/AS4837 → 家宽
普通参考：… → 第三方上游 → AS4837 → 家宽

星号 * 不等于断网：可能是不回应探测或隐藏跳点。ASN/归属地数据库也可能错，别据此断言真实物理路径。

9. YABS：跑分好看，不等于到你家快

YABS 可粗看 CPU、磁盘与到部分公开 iperf3 节点的吞吐。它会消耗流量、CPU 和磁盘资源，先看套餐流量与商家 AUP，不要在重要业务高负载时跑，也不要连续循环压测。

curl -fsSL https://yabs.sh -o yabs.sh
less yabs.sh
bash yabs.sh
# 低流量套餐可跳过网络测试，参数以项目说明为准：bash yabs.sh -i

仓库：https://github.com/masonr/yet-another-bench-script

【示意／占位】YABS 摘要，手工构造，非本文实测
CPU / Memory:        示例CPU / 2 GiB
fio 4k read+write:   40 MB/s（虚构）
Geekbench 6:         Single 600 / Multi 1100（虚构）

iperf3 Network Speed Tests (IPv4):
Provider（示意）     Location（示意）    Send          Recv
公开测试节点 A      London, UK        90 Mbits/s    95 Mbits/s
公开测试节点 B      NYC, US          200 Mbits/s   180 Mbits/s

**怎么读：**Send / Recv 以 VPS 为视角，分别是向测试节点发送 / 从节点接收；Mbits/s 不是 MB/s（粗略除以 8 才是每秒兆字节）。CPU/磁盘分数与回程线路不是一回事，跑到欧美节点 200 Mbits/s，不代表国内家宽就能下载到 200 Mbits/s。公共节点的限速与忙闲也会影响结果，最终仍要测试自己真实使用方向。

可选辅助：Speedtest CLI https://www.speedtest.net/apps/cli 、IPIP https://tools.ipip.net/traceroute.php 、站长测速 https://tool.chinaz.com/speedtest 、商家 Looking Glass。它们的节点与方向各不相同，不要混为同一次回程测试。

不推荐不明短链回程脚本直接 curl | bash。 所谓 BestTrace 一键脚本的维护者与实际引擎可能不同，本文优先使用官方 NextTrace；第三方自动写出的 GIA/GT 标签也应回看原始跳点，不能替代上述判断。

八、流媒体 / 地区解锁检测：测什么、怎么读、局限

1. 这是在测什么？

脚本用服务器出口 IP访问各平台的公开接口或页面，根据返回码 / 地区字段，判断该 IP 是否被识别为某地区的家宽 / 数据中心、能否通过服务的地区限制检查。

它不是：

账号破解、共享账号教程
「一定能稳定看完」的保证（DNS、CDN、风控、设备指纹都会变）
合法性背书（请遵守你所在地与平台 ToS）

🚫 不要把「检测 Yes」理解成「免费看会员内容」。数据中心 IP 也常被流媒体 / AI 服务风控；本文不讨论伪造家宽或滥用共享账号。

2. 常用脚本（先下载再执行）

项目	入口	说明
RegionRestrictionCheck（lmc999）	`https://check.unlock.media`	Bash 经典；可 `-M 4` / `-M 6`
MediaUnlockTest（nkeonkeo）	`https://unlock.moe`	Go 重构，更快
MediaUnlockTest（HsukqiLee）	`https://unlock.icmp.ing/scripts/test.sh`	更多项目 / 修复

仓库：https://github.com/lmc999/RegionRestrictionCheck 、https://github.com/nkeonkeo/MediaUnlockTest 、https://github.com/HsukqiLee/MediaUnlockTest

curl -fsSL https://check.unlock.media -o regioncheck.sh
less regioncheck.sh
bash regioncheck.sh -M 4

本机若开了 VPN 再测，CDN 分流信息可能不准（脚本 README 有说明）。

3. 先看一段检测结果（示意，不是真实跑分）

以下为手工构造的示意／占位输出，借用 RegionRestrictionCheck 一类工具的结构；具体字段随脚本版本变化。它不是本文测试记录，也不是对某个 IP 的解锁保证。

【示意／占位】地区检测摘要：IPv4，非真实运行输出
Netflix:          Yes (Region: US)
Disney+:          Yes (Region: US)
YouTube Premium:  Yes
ChatGPT:          Yes
TikTok:           No

Netflix / Disney+：Yes + US：仅表示脚本的相应检查通过，并返回美国地区线索，不能据此确认完整片库、实际 App 播放或长期可用；还可能存在「仅自制内容」等细分结果。
YouTube Premium：Yes：相应地区检查通过，不会给你会员资格。
ChatGPT：Yes：不是流媒体测速，只是服务可用性/地区检查的一项结果；不保证能注册、登录、支付，或账号符合服务条款。
TikTok：No：表示该项本次检查未通过，不能由此认定 VPS 网络很差，更不能换算为某种回程 ASN。

**地区检测和网络质量是两张成绩单：**解锁 Yes、回程拥堵，实际可能仍很卡；回程很稳、解锁 No，也完全可能。IPv4 与 IPv6 要分别测，结果会随平台风控、DNS/CDN 与 IP 信誉变化，不代表账号合规、版权授权、稳定性或可商用。

4. 常见结果速查

显示倾向	通常含义	局限
Yes / 解锁 + 地区码	接口认为该 IP 可访问对应区内容	实际 App 仍可能因 CDN、代理检测、账号区失败
No / 锁定	地区限制未通过或识别为封锁 ASN	换 DNS 有时会改变 Netflix CDN 分流测试
Failed / 超时	网络不通、被墙、TLS 中途失败等	不等于「永久不能」
ChatGPT / Generative 类	多检测 API / 网页是否返回地区限制页	与「能否注册 / 登录」不是一回事；账号与支付另论
仅 IPv6 Yes	双栈时应用可能仍走 IPv4	用 `-M 4` / `-M 6` 分别看

九、IPv6、DNS、证书与合规提醒

1. IPv6

ip -6 addr
ping -6 -c 3 2606:4700:4700::1111
curl -6 -I https://ifconfig.co

只有 IPv4：许多双栈站点仍可用。有 IPv6 但路由差：可能「偶发很慢」（快乐眼球选错路径）——请分别测 v4 / v6。

2. DNS 粗测

D=example.com   # 换成你要查的域名
for s in 223.5.5.5 119.29.29.29 1.1.1.1 8.8.8.8; do
  echo "==== UDP @$s"
  dig +short +time=2 +tries=1 @"$s" "$D" A
  echo "==== TCP @$s"
  dig +short +tcp +time=2 +tries=1 @"$s" "$D" A
done

粗读：UDP 怪、TCP / DoH 正常 → 更像链路对 UDP/53 做手脚；明文都怪、DoH 正常 → 更像中间篡改明文 DNS；VPS 上正常、家里不正常 → 问题在本地网络 / 运营商。

3. 端口连通性

ss -tlnp
# 从外网看（在本地电脑）
nc -vz 服务器IP 22
nc -vz 服务器IP 443

记得：安全组 + UFW/firewalld 两处都要放行。

4. HTTPS 证书（开站时再做）

Let’s Encrypt：https://letsencrypt.org/docs/
Certbot：https://certbot.eff.org/
HTTP-01 通常需要 80 端口从公网可达；或改用 DNS-01

sudo apt install -y certbot python3-certbot-nginx
sudo certbot --nginx -d example.com
sudo certbot renew --dry-run

不装面板也能建站：Nginx / Caddy + Certbot 就够用。

5. 合规红线（请写进自己的检查表）

不要把 VPS 当成垃圾邮件、扫描、撞库跳板。
发信：配齐 SPF / DKIM / DMARC；注意云厂商对 25 端口限制；优先用正规邮件推送服务。
国内云：对公众提供的互联网信息服务，关注 ICP 备案与相关要求。
海外机：仍须遵守用户所在地法律与服务商 AUP；本文不讨论规避审查的违法用途。
跑网站时注意个人信息保护义务（视业务而定）。

6. 备份最低可行

重要数据清单：网站目录、数据库 dump、.env、Nginx/Caddy 配置、证书（或可重新申请）、crontab。
离机备份：定时打包到另一家对象存储 / 另一台机器 / 本地；不要只留在本机磁盘。
恢复演练：至少恢复过一次，才叫备份。
改系统前先拍云快照。

# 仅示例：打包站点并保留权限信息（路径按业务改）
sudo tar -czf /root/backup-site-$(date +%F).tar.gz -C /var/www .
# 然后 scp/rclone 到别处，再删本地过期包

十、要不要装面板？（宝塔 / 1Panel）

面板	说明	风险摘要
1Panel	开源面板；源码 https://github.com/1Panel-dev/1Panel ；安装以官网 / README 为准	曾披露多起高危漏洞；须及时升级；勿把面板端口裸奔公网；可配合 IP 白名单
宝塔 BT Panel	文档 https://docs.bt.cn/getting-started/quick-installation-of-bt-panel/ ；下载页 https://www.bt.cn/new/download	只执行官网脚本；破解 / 路人脚本有挂马与盗号风险；面板端口需安全组放行；首次改默认账号密码

建议表述：

纯玩 SSH / Docker / 静态站：可以不装面板。
小白要可视化建站：面板可以，但「便利 = 更大攻击面」。
装完立刻：改端口、强密码 / 密钥、限制访问 IP、打开自动更新、关掉不需要的插件。

安装命令请以官网当日文档为准，本文不粘贴易过期的一键串；禁止使用破解版面板。

十一、新手可一键跑的脚本表（来源 / 风险）

通用风险：curl | bash 等于把远程代码直接交给 root。推荐「先下载、less 阅读、再 bash」。下列均为运维自检向。

脚本	用途	建议命令	注意
YABS	CPU / 磁盘 / iperf 粗测	`curl -sL yabs.sh -o yabs.sh && less yabs.sh && bash yabs.sh`	会下载第三方二进制；耗带宽；结果勿神化
NextTrace 安装	路由可视化	`curl -sL https://nxtrace.org/nt -o nt.sh && less nt.sh && bash nt.sh`	官方脚本相对可信；仍建议阅读
RegionRestrictionCheck	流媒体地区检测	见第八节	仅检测；结果会变；勿用于侵权场景说明
MediaUnlockTest	同上，更快	`unlock.moe` / `unlock.icmp.ing`	同上
besttrace 类一键回程	三网回程	优先官方 NextTrace；短链脚本需自审	短链 + 管道风险高
LemonBench	综合 bench	见仓库 README	功能杂、权限面大；慎用
1Panel / 宝塔	面板	只用官网文档命令	历史 CVE；端口暴露危险；禁破解版

不建议： 来路不明的「一键科学 / 一键规避」脚本、破解面板、不明 Gist、扫描他人资产 / 爆破 / 挖矿脚本。

十二、写在最后：一张自检清单

把机器「能登录、能更新、锁得住、网能测」之后，再谈建站、面板、跑服务，会少踩很多坑。若某条命令与你云镜像不一致，以 systemctl status、sshd -T、厂商文档为准。

参考链接

主题	链接
OpenSSH `sshd_config`	https://manpages.ubuntu.com/manpages/jammy/man5/sshd_config.5.html
Ubuntu SSH 加固博客	https://ubuntu.com/blog/how-to-harden-ubuntu-ssh-cloud
UFW	https://wiki.ubuntu.com/UFW
firewalld（Rocky）	https://docs.rockylinux.org/guides/security/firewalld/
Certbot	https://certbot.eff.org/
Let’s Encrypt 文档	https://letsencrypt.org/docs/
Speedtest CLI	https://www.speedtest.net/apps/cli
DigitalOcean 推荐设置（英文结构清晰）	https://docs.digitalocean.com/products/droplets/getting-started/recommended-droplet-setup/
阿里云安全组	https://help.aliyun.com/zh/ecs/user-guide/start-using-security-groups
腾讯云 ICP 备案	https://cloud.tencent.com/document/product/243/18908
宝塔安装文档	https://docs.bt.cn/getting-started/quick-installation-of-bt-panel/
1Panel	https://github.com/1Panel-dev/1Panel
NextTrace	https://github.com/nxtrace/NTrace-core
YABS	https://github.com/masonr/yet-another-bench-script
RegionRestrictionCheck	https://github.com/lmc999/RegionRestrictionCheck
MediaUnlockTest	https://github.com/nkeonkeo/MediaUnlockTest
三网线路科普（社区，非 SLA）	https://blog.e.show/posts/return-route-lines/
VPS 回程怎么测（社区）	https://iptested.com/zh/guides/vps-route-test/