Oma VPS-i turvamine: esimesed viis minutit

Uut internetis olevat serverit hakkavad juba mõne minuti jooksul skannima botid, kes proovivad paroole ära arvata. Nende sammudega oled neist tublisti ees. Käivita need root-kasutajana või sudo-ga. Hiljem tööta pigem oma sudo-õigustega kasutajaga ja keela root-kasutajana sisselogimine, vaata VPS-i juhendist Oma kasutaja sudo-õigustega.

1. Uuenda kõik ja lülita sisse automaatsed uuendused

• Ubuntu ja Debian: apt update && apt upgrade -y, seejärel apt install -y unattended-upgrades ja dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux ja Rocky Linux: dnf upgrade -y, seejärel dnf install -y dnf-automatic ja systemctl enable --now dnf-automatic-install.timer.

Kontrolli, et see ka päriselt töötab. Ubuntus ja Debianis tee proovikäivitus käsuga unattended-upgrade --dry-run --debug ja kaustast /var/log/unattended-upgrades/ näed, mida uuendati. Uus kernel hakkab tööle alles pärast taaskäivitust: kui fail /var/run/reboot-required on olemas, taaskäivita oma VPS rahulikul ajal. Vaata Uuendused ja automaatsed uuendused.

2. Sisselogimine võtmega, paroolid välja

Pane kõigepealt oma SSH-võti serverisse (vaata VPS-i sisselogimine SSH-ga) ja testi, et võtmega sisselogimine töötab. Seejärel loo oma seadistusfail /etc/ssh/sshd_config.d/00-eigen.conf nende ridadega:

PasswordAuthentication no
KbdInteractiveAuthentication no

Ära kirjuta seda faili /etc/ssh/sshd_config ennast: kausta sshd_config.d failid on ülimuslikud ja Ubuntus lülitab 50-cloud-init.conf seal paroolid uuesti sisse. Sinu 00-eigen.conf on järjekorras eespool ja võidab. Kontrolli käsuga sshd -t (ei ütle midagi, kui kõik on korras) ja sshd -T | grep -i passwordauthentication (peab näitama no). Seejärel taaskäivita SSH käsuga systemctl restart ssh (AlmaLinux ja Rocky: systemctl restart sshd). Hoia praegune seanss avatud, kuni oled teises aknas kontrollinud, et pääsed ikka sisse.

3. Tulemüür

• Ubuntu ja Debian: apt install -y ufw, siis ufw allow OpenSSH, veebisaidi jaoks vajadusel ufw allow 80,443/tcp ja ufw enable.
• AlmaLinux ja Rocky Linux: firewalld on juba olemas. Näiteks firewall-cmd --permanent --add-service=http --add-service=https ja firewall-cmd --reload.

Jäta SSH (port 22) alati avatuks, muidu lukustad end välja. Seejärel kontrolli käsuga ufw status verbose, et su reeglid on olemas ka IPv6 jaoks (read märkega (v6)).

4. Fail2ban arvamiskatsete vastu

apt install -y fail2ban või dnf install -y epel-release && dnf install -y fail2ban, siis systemctl enable --now fail2ban. Vaikimisi blokeerib see IP-aadressid, mis proovivad liiga tihti valet parooli. Debian 12-s lisa failis /etc/fail2ban/jail.local jaotisesse [sshd] ka backend = systemd ja paigalda python3-systemd, muidu SSH jälgimine ei käivitu. Debian 13 ja Ubuntu teevad seda juba ise.

5. Hetktõmmis kui turvavõrk

Tee enne suuri muudatusi oma VPS-i vaates hetktõmmis. Kui midagi läheb valesti, taastad selle ühe klõpsuga. Vaata VPS-i hetktõmmised ja varukoopiad.

Jäta qemu-guest-agent alles

Programm qemu-guest-agent on vaikimisi paigaldatud. Selle abil saad VPS-i vaates määrata uue root-parooli ja näed kettakasutust. Ära eemalda seda.

Põhjalik selgitus koos ekraanipiltidega VPS-i juhendis: Parooliga ja root-kasutajana sisselogimise keelamine ja fail2ban arvamiskatsete vastu.

Tahad rohkem õppida? Läbi tasuta kursus VPS ja Linuxi serverihaldus, õppetund 2.2 SSH-serveri turvaline seadistamine või õppetund 10.4 Lõppkontroll: pane oma server proovile.