Kā nodrošināt SSH Linux VPS serverī

Publiski pieejams VPS minūšu laikā pēc palaišanas saņem automatizētus pieteikšanās mēģinājumus. Šie soļi ievērojami apgrūtina SSH uzbrukumus. Tie rakstīti Ubuntu vai Debian sistēmai; ja serveris vēl nav izveidots, vari iznomāt Linux VPS un sākt ar tīru attēlu. Atstāj esošo SSH sesiju atvērtu, līdz esi pārbaudījis jaunos iestatījumus otrā logā.

1. Izveido parastu lietotāju ar sudo

adduser deploy
usermod -aG sudo deploy

2. Izmanto SSH atslēgas, nevis paroles

Savā datorā:

ssh-keygen -t ed25519 -C "you@example.com"
ssh-copy-id deploy@YOUR_SERVER_IP
ssh deploy@YOUR_SERVER_IP

Pirms paroļu izslēgšanas vienreiz pieteikies ar atslēgu, lai pārliecinātos, ka tā darbojas.

3. Izslēdz paroļu un root pieteikšanos

Izveido failu /etc/ssh/sshd_config.d/99-hardening.conf:

PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
MaxAuthTries 3

Pārbaudi sintaksi un pārlādē pakalpojumu. Pakalpojums Ubuntu un Debian sistēmās saucas ssh, bet RHEL bāzētās sistēmās — sshd:

sudo sshd -t && sudo systemctl reload ssh

Atver otru termināli un pieteikies vēlreiz. Tikai tad aizver veco sesiju.

4. Iespējo ugunsmūri

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Atver tikai nepieciešamos portus, piemēram, 80 un 443 tīmekļa serverim. Vari arī ierobežot SSH piekļuvi tikai savai IP adresei, izveidojot ugunsmūra noteikumu mākoņa konsolē.

5. Bloķē atkārtotas kļūmes ar Fail2ban

sudo apt install -y fail2ban

Izveido failu /etc/fail2ban/jail.local:

[sshd]
enabled = true
maxretry = 5
findtime = 10m
bantime = 1h

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

6. Instalē drošības atjauninājumus automātiski

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

7. Papildu iespējas

• SSH porta maiņa samazina žurnāla trokšņus, bet pati par sevi nav drošības pasākums.
• Aizsargā privāto atslēgu ar paroles frāzi un glabā dublējumu drošā vietā.
• Pārskati pieteikšanās ar last un sudo journalctl -u ssh --since today.
• Izveido momentuzņēmumu, kad serveris ir nokonfigurēts, lai varētu atjaunot tīru sākotnējo stāvokli.

Ja esi bloķēts, izmanto pārlūka konsoli savā mākoņa panelī, lai pieteiktos un labotu konfigurāciju. Mūsu DDoS aizsardzības ceļvedis apraksta nākamo aizsardzības slāni.