Jūsu VPS aizsardzība: pirmās piecas minūtes

Jaunu serveri internetā dažu minūšu laikā sāk skenēt roboti, kas mēģina uzminēt paroles. Ar šiem soļiem Jūs būsiet tiem krietni priekšā. Izpildiet tos kā root vai ar sudo. Pēc tam labāk strādājiet ar savu lietotāju ar sudo tiesībām un izslēdziet pieteikšanos kā root, skatiet Savs lietotājs ar sudo VPS rokasgrāmatā.

1. Visa atjaunināšana un automātisko atjauninājumu ieslēgšana

• Ubuntu un Debian: apt update && apt upgrade -y, pēc tam apt install -y unattended-upgrades un dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux un Rocky Linux: dnf upgrade -y, pēc tam dnf install -y dnf-automatic un systemctl enable --now dnf-automatic-install.timer.

Pārbaudiet, vai tas tiešām darbojas. Ubuntu un Debian sistēmā veiciet izmēģinājuma palaišanu ar unattended-upgrade --dry-run --debug, un mapē /var/log/unattended-upgrades/ redzēsiet, kas ir atjaunināts. Jauns kodols sāk darboties tikai pēc restartēšanas: ja pastāv fails /var/run/reboot-required, restartējiet savu VPS piemērotā brīdī. Skatiet Atjauninājumi un automātiskie atjauninājumi.

2. Pieteikšanās ar atslēgu, paroles izslēgtas

Vispirms ievietojiet savu SSH atslēgu serverī (skatiet Pieteikšanās Jūsu VPS ar SSH) un pārbaudiet, vai pieteikšanās ar atslēgu darbojas. Pēc tam izveidojiet savu iestatījumu failu /etc/ssh/sshd_config.d/00-eigen.conf ar šīm rindām:

PasswordAuthentication no
KbdInteractiveAuthentication no

Neievietojiet to pašā failā /etc/ssh/sshd_config: faili mapē sshd_config.d ir prioritāri, un Ubuntu sistēmā 50-cloud-init.conf tur paroles atkal ieslēdz. Jūsu 00-eigen.conf atrodas pirms tā un uzvar. Pārbaudiet ar sshd -t (ja viss ir pareizi, nekas netiek parādīts) un sshd -T | grep -i passwordauthentication (jāparāda no). Pēc tam restartējiet SSH ar systemctl restart ssh (AlmaLinux un Rocky: systemctl restart sshd). Paturiet pašreizējo sesiju atvērtu, līdz otrā logā pārliecināsieties, ka joprojām varat pieteikties.

3. Ugunsmūris

• Ubuntu un Debian: apt install -y ufw, pēc tam ufw allow OpenSSH, ja nepieciešams, ufw allow 80,443/tcp tīmekļa vietnei, un ufw enable.
• AlmaLinux un Rocky Linux: firewalld jau ir instalēts. Piemēram, firewall-cmd --permanent --add-service=http --add-service=https un firewall-cmd --reload.

Vienmēr atstājiet SSH (portu 22) atvērtu, citādi Jūs sev aizslēgsiet piekļuvi. Pēc tam ar ufw status verbose pārbaudiet, vai Jūsu noteikumi ir spēkā arī IPv6 (noteikumi ar (v6)).

4. Fail2ban pret minēšanas mēģinājumiem

apt install -y fail2ban vai dnf install -y epel-release && dnf install -y fail2ban, pēc tam systemctl enable --now fail2ban. Pēc noklusējuma tas bloķē IP adreses, no kurām pārāk bieži tiek ievadīta nepareiza parole. Debian 12 sistēmā failā /etc/fail2ban/jail.local sadaļā [sshd] iestatiet arī backend = systemd un instalējiet python3-systemd, citādi SSH uzraudzība nestartēsies. Debian 13 un Ubuntu to dara automātiski.

5. Momentuzņēmums kā drošības tīkls

Pirms lielu izmaiņu veikšanas izveidojiet momentuzņēmumu savā VPS ekrānā. Ja kaut kas noiet greizi, varat to atjaunot ar vienu klikšķi. Skatiet Jūsu VPS momentuzņēmumi un rezerves kopijas.

Atstājiet qemu-guest-agent

Programma qemu-guest-agent ir instalēta pēc noklusējuma. Ar to VPS ekrānā varat iestatīt jaunu root paroli un redzēt diska lietojumu. Nenoņemiet to.

Plašāks skaidrojums ar ekrānuzņēmumiem: Pieteikšanās ar paroli un kā root izslēgšana un fail2ban pret minēšanas mēģinājumiem VPS rokasgrāmatā.

Vēlaties uzzināt vairāk? Apgūstiet bezmaksas kursu VPS un Linux serveru pārvaldība, nodarbība 2.2 Droša SSH servera iestatīšana vai nodarbība 10.4 Noslēguma pārbaude: Jūsu servera izvērtēšana.

Vēlaties uzzināt vairāk? Apgūstiet bezmaksas kursu VPS un Linux serveru pārvaldība, nodarbību 2.2 SSH servera droša iestatīšana vai nodarbību 10.4 Noslēguma pārbaude: Jūsu servera novērtējums.