（13248期）Host Hardening – OpenClaw 服务器安全加固专家

OpenClaw 服务器安全加固专家 为 OpenClaw 网关服务器提供 SSH 密钥认证、防火墙、入侵防护等一站式安全加固方案，需 root 权限执行 使用说明 核心用法 本技能针对运行 OpenClaw 的 Linux 服务器（Ubuntu/Debian）提供系统级安全加固，涵盖四大核心模块： 1. SSH 密钥专属认证通过修改 /etc/ssh/sshd_config 禁用密码登录，强制仅允许密钥认证，从根本上杜绝暴力破解风险。操作前必须验证密钥登录可用，否则将导致服务器锁死。 2. UFW 防火墙最小化暴露默认拒绝所有入站流量，仅开放 SSH 端口，遵循最小权限原则。支持按需扩展（如 HTTPS 443 端口）。 3. Fail2ban 动态防护自动安装并启用 fail2ban 服务，对 SSH 暴力破解行为实施 IP 封禁，形成第二层防御。 4. 凭证与服务加固 设置 OpenClaw 凭证目录权限为 700（仅所有者可读写执行） 可选创建 systemd 服务实现网关自启动，确保故障自动恢复 显著优点 纵深防御架构：SSH 密钥 + UFW 网络隔离 + Fail2ban 行为检测三层防护 OpenClaw 场景优化：专门针对 OpenClaw 网关服务设计，包含凭证权限与服务持久化 生产级可靠性：systemd 服务配置包含自动重启策略（Restart=always） 操作可逆性强：所有配置均通过标准系统文件修改，便于审计与回滚 潜在局限与风险 单点失效风险：SSH 密钥丢失或损坏将导致完全无法登录，需预先配置备用访问通道 网络锁定陷阱：若云服务商安全组未同步开放 SSH 端口，UFW 启用后将阻断连接 Root 依赖过重：大量操作需 root 权限，存在误操作导致系统不稳定的风险 发行版局限：包管理命令针对 apt（Debian/Ubuntu），其他发行版需手动适配 服务运行权限：OpenClaw 网关默认以 root 运行，存在潜在权限过大问题 适合人群 DevOps 工程师：需要快速标准化新服务器安全基线 系统管理员：负责 OpenClaw 生产环境部署与运维 安全审计人员：进行服务器合规性检查或入侵后加固 技术型开发者：具备 Linux 基础，能理解 SSH/防火墙配置逻辑 常规风险管控 强制预检机制：技能明确要求在禁用密码前验证密钥登录 交互式确认：文档规定每阶段需用户显式批准，禁止自动执行 验证清单：提供 5 项命令式验证步骤，确保每项配置生效 服务名特殊说明：特别标注 Ubuntu SSH 服务名为 ssh 而非 sshd，避免常见踩坑 原始说明 Harden an OpenClaw Linux server with SSH key-only auth, UFW firewall, fail2ban brute-force protection, and credential permissions. Use when setting up a new...