稳定性
Debian 是有意慢的。一份稳定版发布时附带冻结的软件包集合，获得五年的安全支持（两年作为当前 stable、三年作为长期支持），并且在点版本之间几乎什么都不破坏。在一台你希望彻底忘记的服务器上——一台旁路邮件中继、一个 Wireguard 出口、一个小型 Postgres——这正是操作系统应有的形状。
简而言之
- 01
每一档——从 Sentinel 到 Citadel——都预装 Debian 12 和 13 镜像，无额外收费。
- 02
一等公民的 apt 源、默认启用的 unattended-upgrades、原装 Debian 内核——没有任何需要你信任我们的 NordBastion 补丁。
- 03
锁定在四个北欧宪法司法辖区之一——瑞典、芬兰、挪威或冰岛——用 Bitcoin 或 Monero 支付。
为什么在 NordBastion 上选 Debian
用多年的安静来回报你的默认选择。
保守的软件包集合
Bookworm 附带 PostgreSQL 15、nginx 1.22、OpenSSH 9.2——这些版本已经在数千个站点的生产中运行，并在进入 Debian 仓库之前就由更广泛的社区做过强化。你放弃几个月最新的特性，换来的二进制比你自己编译的任何东西都被锤打得更狠。
Free as in freedom（自由意义上的自由）
Debian 的社会契约——「自由软件，绝不妥协」——与 NordBastion 反对收集身份的理念并列起来，比任何其他主要发行版都更自然。两者都是明确、成文的承诺：拒绝某一类便利之举。你也可以在我们这里跑 Ubuntu 或 Arch；我们只是认为 Debian 是最诚实的搭配。
预装镜像
五个 Debian 镜像，各一键即可。
| 镜像 | 标识 | 使用场景 |
|---|---|---|
| Debian 13 (Trixie) | debian-13 |
当前稳定版——2026 年新服务器的默认选择。 |
| Debian 12 (Bookworm) | debian-12 |
上一代稳定版，LTS 至 2028 年中——适用于希望毫无意外的长周期生产环境。 |
| Debian 12 minimal | debian-12-min |
没有图形栈、没有推荐软件包——一个 380 MB 的基线，适合范围紧凑的边车（sidecar）。 |
| Debian 12 + WireGuard | debian-12-wg |
内核模块 + 预配置好的 wg-quick——可用作北欧出口节点或站到站端点。 |
| Debian 12 + Docker | debian-12-docker |
来自 Docker 官方 apt 仓库的 Docker 引擎 + compose 插件，无需对守护进程做调优。 |
如需其他 Debian 版本，可按需挂载自定义 ISO——通过控制面板，无需工单。
NordBastion 上的发行版
Debian、Ubuntu、Arch。三种理念，一张网络。
Debian · 稳定
面向那台你希望忘记的服务器。
五年支持窗口、保守的软件包集合、几乎总是能成功的 dist-upgrade 路径。我们推荐用于生产、边车，以及任何希望在 2031 年仍能无需干预启动的事物的默认值。
Ubuntu · 生态
面向那个默认假设是 Ubuntu 的技术栈。
同样的 Debian 家族 apt 工具，再加上压倒性地以 Ubuntu LTS 为目标的 PPA 和厂商文档。如果你的运维手册里写的是「apt install」和「add-apt-repository」，Ubuntu 会少一层翻译。专门的 Ubuntu VPS 页面将上线于 /ubuntu-vps/。
Arch · 前沿
面向那位想要今日内核的运维者。
滚动发行版、没有 stable 冻结、最新的上游内核和用户态。代价是你要自己维持滚动的纪律——Arch 在被忽视时会崩。专门的 Arch Linux VPS 页面将上线于 /arch-linux-vps/。
挑选一个档位
为 Debian 服务器选对档位。三种判断，三种工作负载。
-
$3.90 / MO
Sentinel —— 边车、个人
2 vCPU、4 GB 内存、120 GB NVMe。在这上面跑一台 Debian 13 minimal，可以承载 Wireguard 出口、小型 Caddy 反向代理、Tor 中继或个人邮件桥接，余量充足。
-
$7.90 / MO
Garrison —— 生产单服务
4 vCPU、8 GB 内存、240 GB NVMe。单个生产应用的最佳点——一台规模化的 Bookworm Postgres、一套 nginx + PHP-FPM 技术栈、一座用户数最多几千人的 Mastodon 实例。
-
$16.90 / MO
Ravelin —— 多服务技术栈
8 vCPU、16 GB 内存、480 GB NVMe。可以舒适承载一套包含数据库、队列、Web 和 worker 的 Docker-Compose 技术栈，或是一套类似 Nextcloud + 邮件 + 搜索的自托管套件。
完整档位序列——Sentinel · Garrison · Ravelin · Bulwark · Citadel——见 /vps/。
结论
NordBastion 上的 Debian 是「无聊却正确」的默认。除非你有理由不选，否则就选它。
对大多数工作负载——生产应用、隐私边车、运维者自己的基础设施——Debian 是用多年安静来回报你的操作系统。它能启动、能自打补丁、不会让你意外。它与一台北欧无 KYC 主机的搭配是理念性的：两家组织都做出过明确成文的承诺——拒绝收集身份、只发布自由软件。
如果你的运维手册默认 Ubuntu 就选 Ubuntu。如果你真的需要今天的内核就选 Arch。其他一切就选 Debian。
常见问题 · Debian
NordBastion 上的 Debian，逐一解答。
运维者在隐私优先主机上部署一台 Debian 服务器之前真正会问的问题。
NordBastion 支持哪些 Debian 版本？
Debian 13（Trixie）作为当前稳定版默认，Debian 12（Bookworm）作为仍在 LTS 至 2028 年中的上一代稳定版，再加上 12 的最小化、预装 WireGuard 和预装 Docker 三个变体。更早的 Debian 版本默认不在控制面板里，但可以按需通过 ISO 挂载流程安装。
我能在原地做 Debian dist-upgrade 吗？
可以——Debian 实际上是这件事最可靠的发行版。点版本之间的标准 apt-get update / apt-get dist-upgrade 路径有效，且有文档的 Bookworm 升级到 Trixie 流程（release notes 第 4 节）在 NordBastion 镜像上受支持并经过测试。先给 VPS 拍快照；一键回滚只是控制面板里的一个动作。
内核是自定义的还是原装的？
原装 Debian 内核，没有 NordBastion 的补丁。VM 侧的虚拟化驱动（virtio-net、virtio-blk、virtio-scsi）来自上游 Debian 构建。我们不发布自定义内核，因为我们打的每一个补丁都是你必须信任我们的一个补丁——保持原装是理念的一部分。
Debian 镜像默认装了什么？
基础系统、openssh-server、sudo、curl、wget、vim、nano、htop、ca-certificates，配置好自动应用安全更新的 unattended-upgrades，以及一份由 NordBastion 签发的 /etc/motd。没有遥测、没有分析代理、没有 cloud-init 向元数据服务器的回调。镜像有意接近从 debian.org 源 debootstrap 出来的结果。
apt 走的是北欧镜像吗？
是的。/etc/apt/sources.list 默认通过官方 CDN 指向 deb.debian.org，从四个据点中的任何一个解析出来的都是北欧镜像（通常是 ftp.se.debian.org 或 ftp.fi.debian.org）。你随时可以在 /etc/apt/sources.list 中固定某个具体镜像，而不会破坏任何东西。
我能用 Debian backports 吗？
可以。把 deb https://deb.debian.org/debian bookworm-backports main 加到 /etc/apt/sources.list.d/backports.list，然后运行 apt update——防火墙不封任何 Debian 仓库。在不离开 stable 转向 testing 的情况下，在稳定系统上获取更新的内核、更新的 PostgreSQL 或更新的 nginx，backports 就是正确的方式。
通过 apt-transport-tor 有 Debian 的 Tor onion 镜像吗？
有。安装 apt-transport-tor 和 tor，然后把 /etc/apt/sources.list 指向官方的 deb.debian.org onion（截至 2026 年是 vwakviie2ienjx6t.onion）。从 NordBastion 的每个据点出站到 .onion 地址都被允许。对一位希望连 apt 流量本身也具备抗元数据特性的运维者，这就是推荐的配置。
Debian 安全更新怎么处理？
默认镜像启用了限定在 security 套件的 unattended-upgrades，所以带 DSA 标签的安全公告会自动安装，无需重启。需要重启的内核更新会在 /var/run/reboot-required 中标出——你决定何时应用它们。我们不会自动重启你的服务器。
