Linux VPS-də SSH-ni necə təhlükəsiz etmək olar

Açıq VPS onlayn olduqdan bir neçə dəqiqə ərzində avtomatik giriş cəhdləri alır. Aşağıdakı addımlar SSH-ə hücumu xeyli çətinləşdirir. Addımlar Ubuntu və ya Debian üçün yazılıb; hələ server yaratmamısınızsa, Linux VPS kirayələyə və təmiz şəkildən başlaya bilərsiniz. Yeni SSH parametrlərini ikinci pəncərədən yoxlayana qədər cari SSH sessiyanızı açıq saxlayın.

1. Sudo hüququ olan adi istifadəçi yaradın

adduser deploy
usermod -aG sudo deploy

2. Parol əvəzinə SSH açarlarından istifadə edin

Öz kompüterinizdə:

ssh-keygen -t ed25519 -C "you@example.com"
ssh-copy-id deploy@YOUR_SERVER_IP
ssh deploy@YOUR_SERVER_IP

Parol girişini söndürməzdən əvvəl açarla bir dəfə daxil olub onun işlədiyinə əmin olun.

3. Parol və root girişini söndürün

/etc/ssh/sshd_config.d/99-hardening.conf faylını yaradın:

PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
MaxAuthTries 3

Sintaksisi yoxlayın və xidməti yenidən yükləyin. Xidmətin adı Ubuntu və Debian-da ssh, RHEL əsaslı sistemlərdə isə sshd-dir:

sudo sshd -t && sudo systemctl reload ssh

İkinci terminal açıb yenidən daxil olun. Yalnız bundan sonra köhnə sessiyanı bağlayın.

4. Firewall-u aktivləşdirin

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Yalnız lazım olan portları açın, məsələn, veb server üçün 80 və 443. Bulud konsolunda firewall qaydası ilə SSH-ə yalnız öz IP ünvanınızdan icazə verə bilərsiniz.

5. Təkrarlanan uğursuz cəhdləri Fail2ban ilə bloklayın

sudo apt install -y fail2ban

/etc/fail2ban/jail.local faylını yaradın:

[sshd]
enabled = true
maxretry = 5
findtime = 10m
bantime = 1h

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

6. Təhlükəsizlik yeniləmələrini avtomatik quraşdırın

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

7. Əlavə tövsiyələr

• SSH portunu dəyişmək jurnal səs-küyünü azaldır, lakin tək başına təhlükəsizlik tədbiri deyil.
• Məxfi açarı parolla qoruyun və ehtiyat nüsxəsini təhlükəsiz yerdə saxlayın.
• last və sudo journalctl -u ssh --since today əmrləri ilə girişləri yoxlayın.
• Server konfiqurasiya edildikdən sonra snapshot götürün ki, təmiz başlanğıc vəziyyətinə qayıda biləsiniz.

Serverə girişi itirsəniz, bulud panelinizdəki brauzer konsolundan daxil olub konfiqurasiyanı düzəldin. Növbəti müdafiə qatı üçün DDoS qorunma bələdçimizə baxın.