先给第一次来的读者：这篇讲什么
VPS（Virtual Private Server，虚拟专用服务器）就是你在机房租的一台"小电脑"，按月或按年付费。付款成功后主机商会把 root 密码发到你的邮箱——但这台机器此刻的状态是"裸机出厂"，谁拿到密码都能登录，而你买它是为了长期用的。
昨天的 《黑五买 VPS：5 道算术题算清真实成本，别只看首购价》 讲的是下单前怎么算账，这篇讲下单之后：新机器到手第一天应该做的 7 件事。照着抄，大约 30 分钟，能让机器既安全又顺手。需要的前置知识只有"会用 SSH 连服务器"。
第 1 件事：SSH 先改，密码登录是第一批被扫的
新机器上线的第一分钟，世界各地的扫描器就开始暴力破解 22 端口的 root 密码了。首日三步：
- 在本地生成密钥对，公钥拷进服务器的
~/.ssh/authorized_keys； - 改
sshd_config：关掉密码登录（PasswordAuthentication no）、开公钥认证； - 有条件的话把 SSH 端口从 22 换成一个不常用的，重启服务。
这步做完，密码泄漏也不怕——因为根本不用密码了。我的大阪小鸡就是这么干的，之后在日志里再没见过成功的破解尝试，只有失败的。
第 2 件事：防火墙只开必要的口子
Ubuntu/Debian 自带 ufw，默认全开等于没设。原则是"默认拒绝，只开业务需要的"：
ufw default deny incoming
ufw default allow outgoing
ufw allow 你的SSH端口
ufw allow 443/tcp # 示例：只开你真在用的服务
ufw enable开防火墙前一定先确认 SSH 规则已放行——ufw enable 前一步错了会把自己锁在门外。吃过这个亏的人不少，千万别当下一个。
第 3 件事：开启 BBR，顺手写进持久化配置
BBR 是 Linux 内核自带的拥塞控制算法，对跨国线路的延迟和吞吐改善非常明显，几条命令的事：
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p验证用 sysctl net.ipv4.tcp_congestion_control 返回 bbr 就对了。我的机器开完 BBR 之后跨国访问的抖动明显下来。注意两点：BBR 的参数要写进 /etc/sysctl.conf 做持久化（只跑一次 sysctl -p 的话重启就丢了）；VPS 控制面板如果提供内核选项，不要选被"阉割"的自定义内核，保证标准内核才能用 BBR。
第 4 件事：对时 + 定时区，别让证书和日志错位
两件事一起做：装 chrony 或开 systemd-timesyncd 做 NTP 对时，把系统时区设成你常用的（比如 timedatectl set-timezone Asia/Shanghai）。
时间不对会引发连锁问题：HTTPS 证书校验失败、计划任务在错误的时间跑、日志时间戳对不上、监控脚本算出的"几分钟前"全是错的。我在写链上监控脚本时就踩过时区坑：服务器是 UTC、我是北京时间，看到的"昨天"其实是"今天"，差点误判水位异常。
第 5 件事：1GB 小内存机器必做——加 swap、砍闲服务
现在很多便宜小鸡只有 1GB 内存（比如 黑五促销榜 上那些年付几十美元的），不开 swap 一跑 Docker 就 OOM 被杀：
fallocate -l 1G /swapfile && chmod 600 /swapfile
mkswap /swapfile && swapon /swapfile
# 把 "/swapfile none swap sw 0 0" 写进 /etc/fstab 持久化另外砍掉用不上的服务（比如云镜像自带的 snapd、lxd-agent），systemctl disable --now 关掉；实在想跑重应用，可以像我处理远程浏览器那样——"按需启动、用完就停"，别让它常驻吃内存。1GB 机器的常驻进程数越少越稳。
第 6 件事：跑一遍线路测试，确认钱花得值
促销买的是配置，更是线路。刚到手就测，有问题趁退款期退：
ping看延迟和丢包，连续跑几分钟；mtr 目标地址看每一跳的延迟和丢包，定位是"去程拥堵"还是"机房问题"——去程拥堵是运营商层面的，机房换不了，你也修不好；- 分时段测：晚高峰（北京时间 20:00~23:00）和凌晨各测一次，线路质量差的机器晚高峰会原形毕露。
如果线路和你预期的用途对不上（比如要做代理节点但晚高峰延迟翻倍），趁着退款期（很多商家只有 7 天）赶紧处理，别拖过退款期再后悔。
第 7 件事：做好第一次快照，再折腾
上面 6 步都走完、机器处在"干净可用"状态时，如果主机商提供免费快照，立刻打一张。这是你的"时光机"：后面装环境装崩了、被黑了、配置改乱了，一键回滚到这张快照，5 分钟回到今天。
没快照功能的机器，至少把 /etc 和你改过的配置文件拷一份到本地。备份这件事，从第一天开始做，不要等到第一次丢数据。
7 步走完，这台机器才算真正"你的"。促销季买机器是省钱的艺术，买完第一天把这份 checklist 走完，是让省下的钱不白花的艺术。后面想折腾代理、建站、跑脚本，起点都是这台干净、加固过、测过线路的机器。祝开箱顺利。