Sikr din VPS: de første fem minutter

En ny server på internettet bliver inden for få minutter scannet af bots, der prøver at gætte adgangskoder. Med disse trin er du godt foran dem. Udfør dem som root.

1. Opdater alt, og slå automatiske opdateringer til

• Ubuntu og Debian: apt update && apt upgrade -y, derefter apt install -y unattended-upgrades og dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux og Rocky Linux: dnf upgrade -y, derefter dnf install -y dnf-automatic og systemctl enable --now dnf-automatic-install.timer.

2. Log ind med en nøgle, og slå adgangskoder fra

Læg først din SSH-nøgle på serveren (se Log ind på din VPS med SSH), og test, at du kan logge ind med nøglen. Opret derefter din egen konfigurationsfil /etc/ssh/sshd_config.d/00-eigen.conf med disse linjer:

PasswordAuthentication no
KbdInteractiveAuthentication no

Skriv det ikke i selve /etc/ssh/sshd_config: filerne i sshd_config.d har forrang, og på Ubuntu slår 50-cloud-init.conf adgangskoder til igen dér. Din 00-eigen.conf kommer før den og vinder. Tjek med sshd -t (siger ingenting, hvis alt er i orden) og sshd -T | grep -i passwordauthentication (skal vise no). Genstart derefter SSH med systemctl restart ssh (AlmaLinux og Rocky: systemctl restart sshd). Hold din nuværende session åben, indtil du i et andet vindue har tjekket, at du stadig kan komme ind.

3. En firewall

• Ubuntu og Debian: apt install -y ufw, derefter ufw allow OpenSSH, eventuelt ufw allow 80,443/tcp til en hjemmeside, og ufw enable.
• AlmaLinux og Rocky Linux: firewalld er allerede installeret. For eksempel firewall-cmd --permanent --add-service=http --add-service=https og firewall-cmd --reload.

Lad altid SSH (port 22) være åben, ellers låser du dig selv ude.

4. Fail2ban mod gætteforsøg

apt install -y fail2ban eller dnf install -y epel-release && dnf install -y fail2ban, derefter systemctl enable --now fail2ban. Som standard blokerer den IP-adresser, der for mange gange prøver en forkert adgangskode. På Debian 12 skal du i /etc/fail2ban/jail.local under [sshd] også sætte backend = systemd og installere python3-systemd, ellers starter overvågningen af SSH ikke. Debian 13 og Ubuntu gør det automatisk.

5. Et snapshot som sikkerhedsnet

Tag et snapshot på din VPS-side, før du laver store ændringer. Går noget galt, gendanner du det med ét klik. Se Snapshots og backups af din VPS.

Lad qemu-guest-agent blive

Programmet qemu-guest-agent er installeret som standard. Med det kan du sætte en ny root-adgangskode på VPS-siden og se diskforbruget. Fjern det ikke.

Udførlig forklaring med skærmbilleder: Slå login med adgangskode og som root fra og fail2ban mod gætteforsøg i VPS-vejledningen.

Vil du lære mere? Følg det gratis kursus i VPS og Linux-serveradministration, lektion 2.2 Konfigurer SSH-serveren sikkert eller lektion 10.4 Afsluttende tjek: din server under lup.

Vil du lære mere? Tag det gratis kursus VPS og Linux-serveradministration, lektion 2.2 Sæt SSH-serveren sikkert op eller lektion 10.4 Sluttjek: gå din server efter i sømmene.