Jūsų VPS apsauga: pirmosios penkios minutės

Naują serverį internete per kelias minutes pradeda skenuoti botai, bandantys atspėti slaptažodžius. Atlikę šiuos veiksmus, gerokai juos aplenksite. Vykdykite juos kaip root arba su sudo. Vėliau geriau dirbkite su savo naudotoju, turinčiu sudo teises, ir išjunkite prisijungimą kaip root, žr. Savas naudotojas su sudo VPS vadove.

1. Atnaujinkite viską ir įjunkite automatinius atnaujinimus

• Ubuntu ir Debian: apt update && apt upgrade -y, tada apt install -y unattended-upgrades ir dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux ir Rocky Linux: dnf upgrade -y, tada dnf install -y dnf-automatic ir systemctl enable --now dnf-automatic-install.timer.

Patikrinkite, ar tai tikrai veikia. Ubuntu ir Debian sistemose bandomąjį paleidimą atliksite su unattended-upgrade --dry-run --debug, o kataloge /var/log/unattended-upgrades/ matysite, kas buvo atnaujinta. Naujas branduolys pradeda veikti tik po paleidimo iš naujo: jei yra failas /var/run/reboot-required, paleiskite VPS iš naujo ramiu metu. Žr. Atnaujinimai ir automatiniai atnaujinimai.

2. Prisijungimas raktu, slaptažodžiai išjungti

Pirmiausia įkelkite savo SSH raktą į serverį (žr. Prisijungimas prie VPS per SSH) ir patikrinkite, ar prisijungimas raktu veikia. Tada sukurkite savo nustatymų failą /etc/ssh/sshd_config.d/00-eigen.conf su šiomis eilutėmis:

PasswordAuthentication no
KbdInteractiveAuthentication no

Nerašykite to į patį /etc/ssh/sshd_config: failai kataloge sshd_config.d turi pirmenybę, o Ubuntu sistemoje failas 50-cloud-init.conf ten vėl įjungia slaptažodžius. Jūsų 00-eigen.conf yra prieš jį ir laimi. Patikrinkite su sshd -t (jei viskas gerai, nieko neparodo) ir sshd -T | grep -i passwordauthentication (turi rodyti no). Tada paleiskite SSH iš naujo su systemctl restart ssh (AlmaLinux ir Rocky: systemctl restart sshd). Neuždarykite dabartinės sesijos, kol antrame lange nepatikrinsite, kad vis dar galite prisijungti.

3. Ugniasienė

• Ubuntu ir Debian: apt install -y ufw, tada ufw allow OpenSSH, jei reikia, ufw allow 80,443/tcp svetainei, ir ufw enable.
• AlmaLinux ir Rocky Linux: firewalld jau įdiegtas. Pavyzdžiui, firewall-cmd --permanent --add-service=http --add-service=https ir firewall-cmd --reload.

Visada palikite atvirą SSH (22 prievadas), antraip patys sau užblokuosite prieigą. Tada su ufw status verbose patikrinkite, ar Jūsų taisyklės galioja ir IPv6 (taisyklės su (v6)).

4. Fail2ban prieš spėjimo bandymus

apt install -y fail2ban arba dnf install -y epel-release && dnf install -y fail2ban, tada systemctl enable --now fail2ban. Pagal numatytuosius nustatymus jis blokuoja IP adresus, iš kurių per dažnai bandoma įvesti neteisingą slaptažodį. Debian 12 sistemoje faile /etc/fail2ban/jail.local skiltyje [sshd] taip pat nustatykite backend = systemd ir įdiekite python3-systemd, antraip SSH stebėjimas nepasileis. Debian 13 ir Ubuntu tai atlieka automatiškai.

5. Momentinė kopija kaip apsauga

Prieš atlikdami didelius pakeitimus, sukurkite momentinę kopiją savo VPS ekrane. Jei kas nors nepavyks, ją atkursite vienu paspaudimu. Žr. Jūsų VPS momentinės ir atsarginės kopijos.

Nešalinkite qemu-guest-agent

Programa qemu-guest-agent įdiegta pagal numatytuosius nustatymus. Su ja VPS ekrane galite nustatyti naują root slaptažodį ir matyti disko naudojimą. Nešalinkite jos.

Išsamus paaiškinimas su ekrano nuotraukomis: Prisijungimo slaptažodžiu ir kaip root išjungimas ir fail2ban prieš spėjimo bandymus VPS vadove.

Norite sužinoti daugiau? Lankykite nemokamą kursą „VPS ir Linux serverių administravimas“, pamoką 2.2 Saugus SSH serverio nustatymas arba pamoką 10.4 Galutinis patikrinimas: Jūsų serverio įvertinimas.

Norite sužinoti daugiau? Išklausykite nemokamo kurso VPS ir Linux serverių administravimas pamoką 2.2 Saugus SSH serverio nustatymas arba pamoką 10.4 Galutinė patikra: Jūsų serveris po lupa.