Zabezpečenie vášho VPS: prvých päť minút

Nový server na internete v priebehu niekoľkých minút naskenujú boty, ktoré skúšajú heslá. Vďaka týmto krokom budete mať pred nimi veľký náskok. Vykonajte ich ako root alebo pomocou sudo. Potom radšej pracujte s vlastným používateľom so sudo a prihlasovanie ako root vypnite, pozrite si Vlastný používateľ so sudo v príručke k VPS.

1. Aktualizovať všetko a zapnúť automatické aktualizácie

• Ubuntu a Debian: apt update && apt upgrade -y, potom apt install -y unattended-upgrades a dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux a Rocky Linux: dnf upgrade -y, potom dnf install -y dnf-automatic a systemctl enable --now dnf-automatic-install.timer.

Overte, či to naozaj funguje. Na Ubuntu a Debiane vykonáte skúšobné spustenie príkazom unattended-upgrade --dry-run --debug a v /var/log/unattended-upgrades/ uvidíte, čo sa aktualizovalo. Nové jadro začne fungovať až po reštarte: ak existuje súbor /var/run/reboot-required, reštartujte svoj VPS v pokojnom čase. Pozrite si Aktualizácie a automatické aktualizácie.

2. Prihlasovanie kľúčom, heslá vypnuté

Najprv umiestnite svoj SSH kľúč na server (pozrite si Prihlásenie na váš VPS cez SSH) a otestujte, či prihlásenie kľúčom funguje. Potom vytvorte vlastný konfiguračný súbor /etc/ssh/sshd_config.d/00-eigen.conf s týmito riadkami:

PasswordAuthentication no
KbdInteractiveAuthentication no

Nevkladajte ich priamo do /etc/ssh/sshd_config: súbory v sshd_config.d majú prednosť a na Ubuntu tam 50-cloud-init.conf heslá opäť zapína. Váš súbor 00-eigen.conf je pred ním, a preto má prednosť. Skontrolujte to príkazom sshd -t (ak je všetko v poriadku, nič nevypíše) a sshd -T | grep -i passwordauthentication (musí zobraziť no). Potom reštartujte SSH príkazom systemctl restart ssh (AlmaLinux a Rocky: systemctl restart sshd). Aktuálnu reláciu nechajte otvorenú, kým v druhom okne neoveríte, že sa stále dokážete prihlásiť.

3. Firewall

• Ubuntu a Debian: apt install -y ufw, potom ufw allow OpenSSH, prípadne ufw allow 80,443/tcp pre webovú stránku, a ufw enable.
• AlmaLinux a Rocky Linux: firewalld je už nainštalovaný. Napríklad firewall-cmd --permanent --add-service=http --add-service=https a firewall-cmd --reload.

SSH (port 22) nechajte vždy otvorené, inak sa sami zablokujete. Potom pomocou ufw status verbose skontrolujte, či vaše pravidlá platia aj pre IPv6 (pravidlá s (v6)).

4. Fail2ban proti pokusom o uhádnutie hesla

apt install -y fail2ban alebo dnf install -y epel-release && dnf install -y fail2ban, potom systemctl enable --now fail2ban. Štandardne blokuje IP adresy, z ktorých sa príliš často skúša nesprávne heslo. Na Debiane 12 nastavte v /etc/fail2ban/jail.local pod [sshd] aj backend = systemd a nainštalujte python3-systemd, inak sa monitorovanie SSH nespustí. Debian 13 a Ubuntu to robia automaticky.

5. Snapshot ako záchranná sieť

Pred väčšími zmenami vytvorte snapshot na obrazovke vášho VPS. Ak sa niečo pokazí, jedným kliknutím ho obnovíte. Pozrite si Snapshoty a zálohy vášho VPS.

Ponechajte qemu-guest-agent

Program qemu-guest-agent je štandardne nainštalovaný. Vďaka nemu môžete na obrazovke VPS nastaviť nové root heslo a vidíte využitie disku. Neodstraňujte ho.

Podrobný návod so snímkami obrazovky: Vypnutie prihlasovania heslom a ako root a fail2ban proti pokusom o uhádnutie hesla v príručke k VPS.

Chcete sa dozvedieť viac? Absolvujte bezplatný kurz VPS a správa Linuxových serverov, lekciu 2.2 Bezpečné nastavenie SSH servera alebo lekciu 10.4 Záverečná kontrola: preverenie vášho servera.