Securizarea VPS-ului dumneavoastră: primele cinci minute

Un server nou conectat la internet este scanat în câteva minute de boți care încearcă parole. Cu acești pași le veți fi cu mult înainte. Executați-i ca root sau cu sudo. Ulterior, este preferabil să lucrați cu un utilizator propriu cu sudo și să dezactivați autentificarea ca root, consultați Un utilizator propriu cu sudo în ghidul VPS.

1. Actualizați totul și activați actualizările automate

• Ubuntu și Debian: apt update && apt upgrade -y, apoi apt install -y unattended-upgrades și dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux și Rocky Linux: dnf upgrade -y, apoi dnf install -y dnf-automatic și systemctl enable --now dnf-automatic-install.timer.

Verificați dacă funcționează cu adevărat. Pe Ubuntu și Debian puteți face o rulare de probă cu unattended-upgrade --dry-run --debug, iar în /var/log/unattended-upgrades/ vedeți ce a fost actualizat. Un kernel nou funcționează abia după o repornire: dacă există fișierul /var/run/reboot-required, reporniți VPS-ul dumneavoastră într-un moment liniștit. Consultați Actualizări și actualizări automate.

2. Autentificare cu cheie, parolele dezactivate

Mai întâi plasați cheia SSH pe server (consultați Autentificarea pe VPS-ul dumneavoastră cu SSH) și testați dacă autentificarea cu cheia funcționează. Apoi creați un fișier de setări propriu /etc/ssh/sshd_config.d/00-eigen.conf cu aceste rânduri:

PasswordAuthentication no
KbdInteractiveAuthentication no

Nu le puneți direct în /etc/ssh/sshd_config: fișierele din sshd_config.d au prioritate, iar pe Ubuntu 50-cloud-init.conf reactivează acolo parolele. Fișierul dumneavoastră 00-eigen.conf este citit înaintea acestuia și are prioritate. Verificați cu sshd -t (nu afișează nimic dacă totul este corect) și sshd -T | grep -i passwordauthentication (trebuie să afișeze no). Apoi reporniți SSH cu systemctl restart ssh (AlmaLinux și Rocky: systemctl restart sshd). Păstrați sesiunea curentă deschisă până când ați verificat într-o a doua fereastră că vă puteți conecta în continuare.

3. Un firewall

• Ubuntu și Debian: apt install -y ufw, apoi ufw allow OpenSSH, eventual ufw allow 80,443/tcp pentru un website, și ufw enable.
• AlmaLinux și Rocky Linux: firewalld este deja instalat. De exemplu firewall-cmd --permanent --add-service=http --add-service=https și firewall-cmd --reload.

Lăsați întotdeauna SSH (portul 22) deschis, altfel vă blocați singur accesul. Apoi verificați cu ufw status verbose că regulile dumneavoastră există și pentru IPv6 (regulile cu (v6)).

4. Fail2ban împotriva încercărilor de ghicire

apt install -y fail2ban sau dnf install -y epel-release && dnf install -y fail2ban, apoi systemctl enable --now fail2ban. Implicit, acesta blochează adresele IP care încearcă de prea multe ori o parolă greșită. Pe Debian 12 adăugați în /etc/fail2ban/jail.local, sub [sshd], și backend = systemd și instalați python3-systemd, altfel monitorizarea SSH nu pornește. Debian 13 și Ubuntu fac acest lucru automat.

5. Un snapshot ca plasă de siguranță

Creați un snapshot în ecranul VPS înainte de a face modificări importante. Dacă ceva nu merge bine, îl restaurați cu un singur clic. Consultați Snapshot-uri și backup-uri pentru VPS-ul dumneavoastră.

Nu dezinstalați qemu-guest-agent

Programul qemu-guest-agent este instalat implicit. Cu ajutorul lui puteți seta o nouă parolă root în ecranul VPS și puteți vedea utilizarea discului. Nu îl eliminați.

Explicații detaliate cu capturi de ecran: Dezactivarea autentificării cu parolă și ca root și fail2ban împotriva încercărilor de ghicire în ghidul VPS.

Doriți să aflați mai multe? Urmați cursul gratuit VPS și administrarea serverelor Linux, lecția 2.2 Configurarea sigură a serverului SSH sau lecția 10.4 Verificarea finală: serverul dumneavoastră sub lupă.