Zavarovanje Vašega VPS: prvih pet minut

Nov strežnik na internetu v nekaj minutah začnejo pregledovati boti, ki poskušajo uganiti gesla. S temi koraki jih boste zlahka prehiteli. Izvedite jih kot root ali s sudo. Nato raje delajte z lastnim uporabnikom s sudo in onemogočite prijavo kot root. Glejte Lasten uporabnik s sudo v priročniku za VPS.

1. Posodobite vse in vklopite samodejne posodobitve

• Ubuntu in Debian: apt update && apt upgrade -y, nato apt install -y unattended-upgrades in dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux in Rocky Linux: dnf upgrade -y, nato dnf install -y dnf-automatic in systemctl enable --now dnf-automatic-install.timer.

Preverite, ali res deluje. Na Ubuntuju in Debianu naredite poskusni zagon z unattended-upgrade --dry-run --debug, v /var/log/unattended-upgrades/ pa vidite, kaj je bilo posodobljeno. Novo jedro začne delovati šele po ponovnem zagonu: če obstaja datoteka /var/run/reboot-required, ob mirnem trenutku znova zaženite svoj VPS. Glejte Posodobitve in samodejne posodobitve.

2. Prijava s ključem, gesla izklopljena

Najprej namestite svoj SSH ključ na strežnik (glejte Prijava v VPS prek SSH) in preizkusite, ali prijava s ključem deluje. Nato ustvarite lastno datoteko z nastavitvami /etc/ssh/sshd_config.d/00-eigen.conf s temi vrsticami:

PasswordAuthentication no
KbdInteractiveAuthentication no

Nastavitev ne vnesite v samo datoteko /etc/ssh/sshd_config: datoteke v sshd_config.d imajo prednost, na Ubuntuju pa 50-cloud-init.conf tam gesla znova vklopi. Vaša datoteka 00-eigen.conf je na vrsti pred njo in ima prednost. Preverite z sshd -t (če je vse pravilno, ne izpiše ničesar) in sshd -T | grep -i passwordauthentication (prikazati mora no). Nato znova zaženite SSH z systemctl restart ssh (AlmaLinux in Rocky: systemctl restart sshd). Trenutno sejo pustite odprto, dokler v drugem oknu ne preverite, da se še vedno lahko prijavite.

3. Požarni zid

• Ubuntu in Debian: apt install -y ufw, nato ufw allow OpenSSH, po potrebi ufw allow 80,443/tcp za spletno stran, in ufw enable.
• AlmaLinux in Rocky Linux: firewalld je že nameščen. Na primer firewall-cmd --permanent --add-service=http --add-service=https in firewall-cmd --reload.

SSH (vrata 22) vedno pustite odprt, sicer se boste zaklenili ven. Nato z ufw status verbose preverite, ali Vaša pravila veljajo tudi za IPv6 (pravila z oznako (v6)).

4. Fail2ban proti poskusom ugibanja gesel

apt install -y fail2ban ali dnf install -y epel-release && dnf install -y fail2ban, nato systemctl enable --now fail2ban. Privzeto blokira naslove IP, ki prepogosto poskusijo napačno geslo. Na Debianu 12 v /etc/fail2ban/jail.local pod [sshd] nastavite tudi backend = systemd in namestite python3-systemd, sicer se nadzor SSH ne zažene. Debian 13 in Ubuntu to storita samodejno.

5. Posnetek stanja kot varnostna mreža

Pred večjimi spremembami naredite posnetek stanja na zaslonu svojega VPS. Če gre kaj narobe, ga z enim klikom obnovite. Glejte Posnetki stanja in varnostne kopije Vašega VPS.

Pustite qemu-guest-agent nameščen

Program qemu-guest-agent je privzeto nameščen. Z njim lahko na zaslonu VPS nastavite novo geslo za root in vidite porabo diska. Ne odstranite ga.

Podrobna razlaga s posnetki zaslona: Izklop prijave z geslom in kot root ter fail2ban proti poskusom ugibanja gesel v priročniku za VPS.

Želite izvedeti več? Obiščite brezplačni tečaj VPS in upravljanje strežnikov Linux, lekcijo 2.2 Varna nastavitev strežnika SSH ali lekcijo 10.4 Končni pregled: temeljito preverite svoj strežnik.