核心功能
本技能提供OpenClaw Linux服务器的完整安全加固方案，覆盖SSH访问控制、网络层防护、入侵检测和凭据管理四大安全域。
核心用法
SSH密钥认证
通过修改/etc/ssh/sshd_config，强制禁用root密码登录和普通用户密码认证，仅允许密钥对访问，彻底杜绝暴力破解入口。
UFW防火墙配置
采用"默认拒绝入站、允许出站"的最小权限原则，仅暴露SSH端口（22），用户可按需扩展HTTPS等规则，实现网络层访问控制。
Fail2ban入侵防护
自动安装并启用fail2ban服务，对SSH登录失败行为进行监控和封禁，形成动态防御层。
OpenClaw专项加固
- 凭据目录权限锁定（700），防止敏感配置泄露
- 创建systemd服务单元，确保网关进程随系统自启动并自动恢复
显著优点
| 维度 | 优势 |
|------|------|
| **效率** | 复制粘贴即可执行，全程自动化无交互 |
| **完整性** | 涵盖身份、网络、主机、应用四层防护 |
| **针对性** | 专为OpenClaw生态设计，包含服务管理 |
| **可验证** | 提供6条验证命令，确保配置生效 |
局限性与风险
关键风险：执行前必须确认已配置SSH密钥访问，否则禁用密码后将永久锁死服务器。技能虽含验证步骤，但无前置检查机制。
其他局限：
- 硬编码root用户运行OpenClaw服务，违背最小权限原则
- 未涉及SELinux/AppArmor等强制访问控制
- 缺少日志集中审计方案
- fail2ban为默认配置，未针对高并发场景调优
适用人群
- DevOps工程师：快速完成新实例安全基线
- 系统管理员：例行安全审计后的标准化修复
- 安全响应人员：入侵事件后的紧急加固
常规风险
| 风险项 | 等级 | 说明 |
|--------|------|------|
| 配置锁定 | **高** | 无密钥时执行将导致SSH不可达 |
| 服务中断 | 中 | UFW启用瞬间可能阻断现有连接 |
| 权限扩大 | 中 | OpenClaw以root运行增加攻击面 |
建议：生产环境执行前在测试机验证，并保留VNC/控制台访问通道作为逃生路径。