Slik sikrer du SSH på en Linux VPS

En offentlig VPS mottar automatiserte innloggingsforsøk innen få minutter etter at den er satt i drift. Disse stegene gjør SSH mye vanskeligere å angripe. De er skrevet for Ubuntu eller Debian. Hvis du ikke har opprettet en server ennå, kan du leie en Linux VPS og starte fra et rent image. Behold den nåværende SSH-økten åpen til du har testet de nye innstillingene fra et andre vindu.

1. Opprett en vanlig bruker med sudo

adduser deploy
usermod -aG sudo deploy

2. Bruk SSH-nøkler i stedet for passord

På din egen maskin:

ssh-keygen -t ed25519 -C "you@example.com"
ssh-copy-id deploy@YOUR_SERVER_IP
ssh deploy@YOUR_SERVER_IP

Logg inn én gang med nøkkelen for å bekrefte at den fungerer, før du slår av passordinnlogging.

3. Slå av passord- og root-innlogging

Opprett /etc/ssh/sshd_config.d/99-hardening.conf:

PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
MaxAuthTries 3

Kontroller syntaksen og last tjenesten på nytt. Tjenesten heter ssh på Ubuntu og Debian og sshd på RHEL-baserte systemer:

sudo sshd -t && sudo systemctl reload ssh

Åpne et nytt terminalvindu og logg inn på nytt. Først da lukker du den gamle økten.

4. Aktiver en brannmur

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Åpne bare de portene du trenger, for eksempel 80 og 443 for en webserver. Du kan også begrense SSH til din egen IP-adresse med en brannmuravregel i skykonsollen.

5. Blokker gjentatte feil med Fail2ban

sudo apt install -y fail2ban

Opprett /etc/fail2ban/jail.local:

[sshd]
enabled = true
maxretry = 5
findtime = 10m
bantime = 1h

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

6. Installer sikkerhetsoppdateringer automatisk

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

7. Valgfrie tillegg

• Å endre SSH-porten reduserer støy i loggene, men er ikke en sikkerhetstiltak i seg selv.
• Beskytt den private nøkkelen med en passfrase, og oppbevar en sikkerhetskopi på et trygt sted.
• Gå gjennom innlogginger med last og sudo journalctl -u ssh --since today.
• Ta et øyeblikksbilde når serveren er konfigurert, slik at du kan gjenopprette en ren utgangstilstand.

Hvis du er låst ute, bruk nettleserkonsollen i skypanelet ditt til å logge inn og rette konfigurasjonen. Vår guide om DDoS-beskyttelse dekker neste lag i forsvaret.