核心用法
host-hardening 是一套面向 OpenClaw Linux 服务器的系统级安全加固方案，涵盖四大核心模块：
1. SSH 密钥-only 认证：通过修改 /etc/ssh/sshd_config 禁用 root 密码登录与密码认证，强制使用 SSH 密钥，从根本上消除弱口令暴力破解风险。
2. UFW 防火墙配置：默认拒绝所有入站流量，仅放行 SSH（22），出站全开。采用最小权限原则，用户可按需追加 HTTPS（443）等服务端口。
3. fail2ban 暴力破解防护：自动安装并启用 fail2ban，对 SSH 登录失败行为进行速率限制与 IP 封禁，形成动态防御层。
4. 凭证与网关服务加固：设置 ~/.openclaw/credentials 目录权限为 700，防止敏感凭证泄露；可选创建 systemd 服务实现 OpenClaw 网关开机自启。
显著优点
- 防御纵深完整：网络层（UFW）→ 认证层（SSH 密钥）→ 应用层（fail2ban）→ 数据层（权限管控）四层防护
- 运维友好：所有命令附带详细注释与风险提示，明确区分「必须执行」与「可选步骤」
- 故障预防设计：反复强调「先验证密钥登录再禁密码」，避免管理员自锁
- 发行版适配提示：默认适配 Ubuntu/Debian，同时提示其他发行版需调整包管理命令
潜在缺点与局限
- 发行版覆盖有限：核心命令（
apt-get、ufw、systemctl）深度绑定 Debian 系，RHEL/CentOS/Alpine 需手动迁移 - 云环境冲突风险：AWS/GCP 等平台的安全组与 UFW 功能重叠，双重管理可能引发调试困惑
- 网关服务权限过高：systemd 服务默认以 root 运行，若 OpenClaw 存在漏洞将直接威胁宿主机
- 缺乏自动化回滚：配置变更后直接生效，无快照或备份机制，误操作可能导致服务中断
适合人群
- 新部署 OpenClaw 实例的 DevOps/SRE 工程师
- 需要通过安全审计的中小型企业运维团队
- 遭遇暴力破解或凭证泄露后的应急响应场景
常规风险
| 风险场景 | 说明 |
|---------|------|
| 密钥配置失败导致锁机 | 未验证密钥即禁用密码，可能永久失去 SSH 访问 |
| 端口规则过于严格 | 若业务依赖非标准端口，默认 deny 将阻断合法流量 |
| fail2ban 误封 | 合法用户多次输错密钥后 IP 被封，需手动解封 |
| 服务文件植入风险 | 拼接 systemd unit 文件时若输入未校验，存在命令注入可能 |