Zabezpečenie VPS: prvých päť minút

Nový server na internete v priebehu niekoľkých minút skenujú boty, ktoré skúšajú heslá. Týmito krokmi ich výrazne predbehnete. Vykonajte ich ako root.

1. Všetko aktualizovať a zapnúť automatické aktualizácie

• Ubuntu a Debian: apt update && apt upgrade -y, potom apt install -y unattended-upgrades a dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux a Rocky Linux: dnf upgrade -y, potom dnf install -y dnf-automatic a systemctl enable --now dnf-automatic-install.timer.

2. Prihlásenie kľúčom, heslá vypnúť

Najprv nahrajte svoj SSH kľúč na server (pozrite si Prihlásenie do VPS cez SSH) a otestujte, či prihlásenie kľúčom funguje. Potom v /etc/ssh/sshd_config nastavte:

PasswordAuthentication no

a reštartujte SSH príkazom systemctl restart ssh (AlmaLinux a Rocky: systemctl restart sshd). Aktuálnu reláciu nechajte otvorenú, kým si v druhom okne neoveríte, že sa stále prihlásite.

3. Firewall

• Ubuntu a Debian: apt install -y ufw, potom ufw allow OpenSSH, prípadne ufw allow 80,443/tcp pre web, a ufw enable.
• AlmaLinux a Rocky Linux: firewalld je už nainštalovaný. Napríklad firewall-cmd --permanent --add-service=http --add-service=https a firewall-cmd --reload.

Vždy nechajte otvorené SSH (port 22), inak sa sami zablokujete.

4. Fail2ban proti hádaniu hesiel

apt install -y fail2ban alebo dnf install -y epel-release && dnf install -y fail2ban, potom systemctl enable --now fail2ban. Predvolene blokuje IP adresy, ktoré príliš často skúšajú nesprávne heslo.

5. Snapshot ako záchranná sieť

Pred veľkými zmenami si na obrazovke VPS vytvorte snapshot. Ak sa niečo pokazí, jedným kliknutím ho obnovíte. Pozrite si Snapshoty a zálohy VPS.

Nechajte qemu-guest-agent nainštalovaný

Program qemu-guest-agent je predvolene nainštalovaný. Vďaka nemu môžete na obrazovke VPS nastaviť nové heslo pre root a vidíte využitie disku. Neodstraňujte ho.