VPS 安全指南 · 2026

CrowdSec VPS 安装指南 2026：在 Linux 服务器上部署众包入侵防御系统

CloudPicked 评测团队  ·  最后更新：2026 年 10 月  ·  数据来源：crowdsec.net 及 docs.crowdsec.net

暴露在互联网上的 VPS 在上线后几分钟内就会遭到扫描和攻击——SSH 暴力破解、端口扫描、Web 漏洞利用和 DDoS 僵尸网络是每位服务器运营者都要面对的持续威胁。传统工具如 Fail2ban 只能看到攻击您自己服务器的行为。CrowdSec 采用了完全不同的方式。

CrowdSec 是一款开源 IDS/IPS，利用众包威胁情报——全球超过 70,000 台服务器共享恶意 IP 数据，使您获得的社区封锁名单比其他厂商领先 7–60 天。核心引擎完全免费。

CrowdSec 是什么？

CrowdSec 是一款开源 Security Engine（2026 年最新版本 v1.8），用于检测和阻断服务器上的恶意行为。与 Fail2ban 不同，它采用众包威胁情报机制——当您的服务器检测到恶意 IP 时，该数据会贡献给社区，并以持续更新的社区封锁名单形式自动返回给所有 CrowdSec 用户。

核心架构

CrowdSec 由四个主要组件构成：

1. 日志处理器（Log Processor）——从定义的来源（SSH、Nginx、Apache 等）读取日志，并根据场景规则分析行为模式
2. AppSec（WAF）——过滤恶意 HTTP 请求，支持 Web 漏洞利用检测和机器人检测
3. 本地 API（LAPI）——日志处理器与修复组件之间的中间件
4. 修复组件（Bouncers）——执行决策：在防火墙、Nginx 或反向代理级别封锁 IP

CrowdSec vs Fail2ban 直接对比

Fail2ban 仍是一款不错的工具，但 CrowdSec 在 2026 年具备显著优势：

数据截至 2026 年 10 月 — 来源：docs.crowdsec.net

性能统计数据（来源：crowdsec.net）

来自真实案例：法国 Crédit Mutuel 银行 CERT 主管 Nicolas Iung："在相同时间段内，CrowdSec 拦截了 6,660 万次攻击尝试，而 Palo Alto 仅拦截了 1,109 万次——且误报率为零。"

在 Ubuntu/Debian VPS 上安装 CrowdSec

以下步骤适用于 Ubuntu 22.04/24.04 LTS 和 Debian 11/12：

第一步：添加软件仓库

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash

第二步：安装 CrowdSec

sudo apt update
sudo apt install crowdsec -y

安装完成后，CrowdSec 会自动检测操作系统并添加合适的规则集，例如 crowdsecurity/linux，若已安装 Nginx 则添加 crowdsecurity/nginx。

第三步：检查服务状态

sudo systemctl status crowdsec
sudo cscli metrics

第四步：查看已安装的规则集

sudo cscli collections list

如需安装额外规则集：

sudo cscli collections install crowdsecurity/nginx
sudo cscli collections install crowdsecurity/apache2
sudo cscli collections install crowdsecurity/sshd

配置 Firewall Bouncer（cs-firewall-bouncer）

Firewall Bouncer 是一种修复组件，通过直接向 iptables 或 nftables 注入规则来封锁被标记的 IP：

安装 Firewall Bouncer

sudo apt install crowdsec-firewall-bouncer-iptables -y

或针对 nftables（推荐用于 Ubuntu 22.04+）：

sudo apt install crowdsec-firewall-bouncer-nftables -y

验证 Bouncer 状态

sudo cscli bouncers list

输出应显示 cs-firewall-bouncer，状态为 valid。

测试 Bouncer 是否正常工作

sudo cscli decisions list

此命令显示当前被封锁的 IP。若社区封锁名单加载成功，您将看到数千条记录。

配置 Nginx Bouncer（第 7 层）

Nginx Bouncer 在 HTTP 层运作——可以用 403 Forbidden、CAPTCHA 验证或重定向来响应，而不仅仅是在防火墙层静默丢弃数据包。

安装 Nginx Bouncer

sudo apt install crowdsec-nginx-bouncer -y

配置文件 /etc/crowdsec/bouncers/crowdsec-nginx-bouncer.conf

API_KEY=<your-api-key>  # 通过以下命令获取：sudo cscli bouncers list
API_URL=http://127.0.0.1:8080

在 Nginx server 块中添加指令

server {
    # ...
    lua_package_path "/usr/local/share/lua/5.1/?.lua;;";
    access_by_lua_file /usr/lib/crowdsec/lua/nginx/access.lua;
    # ...
}

然后重载 Nginx：

sudo nginx -t && sudo systemctl reload nginx

cscli 常用命令

cscli 是管理 CrowdSec 所有功能的主要命令行工具：

CrowdSec Console — 免费 Web 仪表盘

CrowdSec Console（app.crowdsec.net）是一个 Web 仪表盘，支持：

• 实时查看告警和决策
• 从单一界面管理多个 Security Engine
• 攻击量激增时接收通知
• 以可视化方式查看 Prometheus 指标

将 Security Engine 连接到 Console：

sudo cscli console enroll <来自控制台的注册密钥>
sudo systemctl restart crowdsec

Console 社区版免费，注册的 Security Engine 数量不受限制。

定价与高级方案（来源：crowdsec.net/pricing — 2026 年 10 月）

对于个人 VPS 运营者和初创团队，免费 Security Engine + 社区封锁名单已能提供可靠的日常保护。高级方案面向需要比社区封锁名单领先数周的企业级威胁情报的组织。

适合哪些用户？

以下场景效果极佳：

• 运行 Nginx/Apache + WordPress 的 VPS
• 对公网开放 SSH 的服务器
• 自托管服务（Gitea、Nextcloud、Mattermost）
• 运行 WHM/cPanel 的共享主机（原生支持）
• Docker 容器部署
• Kubernetes 集群

以下情况可能不需要：

• 使用托管共享主机，由服务商负责安全（如配备 CPGuard/Imunify360 的 AsiaGB、Ruk-Com Cloud）
• 已在源站前部署 Cloudflare WAF 且不直接运营源站

常见问题