Sikre VPS-en din: de første fem minuttene

En ny server på internett blir skannet av roboter som prøver passord i løpet av få minutter. Med disse stegene er du godt foran dem. Kjør dem som root eller med sudo. Jobb deretter helst med en egen bruker med sudo, og slå av innlogging som root, se En egen bruker med sudo i VPS-veiledningen.

1. Oppdater alt og slå på automatiske oppdateringer

• Ubuntu og Debian: apt update && apt upgrade -y, deretter apt install -y unattended-upgrades og dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux og Rocky Linux: dnf upgrade -y, deretter dnf install -y dnf-automatic og systemctl enable --now dnf-automatic-install.timer.

Sjekk at det faktisk fungerer. På Ubuntu og Debian tar du en prøvekjøring med unattended-upgrade --dry-run --debug, og i /var/log/unattended-upgrades/ ser du hva som er oppdatert. En ny kjerne tas først i bruk etter en omstart: finnes filen /var/run/reboot-required, start VPS-en på nytt på et rolig tidspunkt. Se Oppdateringer og automatiske oppdateringer.

2. Logg inn med nøkkel, slå av passord

Legg først SSH-nøkkelen din på serveren (se Logg inn på VPS-en din med SSH) og test at innlogging med nøkkelen fungerer. Lag deretter en egen innstillingsfil /etc/ssh/sshd_config.d/00-eigen.conf med disse linjene:

PasswordAuthentication no
KbdInteractiveAuthentication no

Ikke legg det i selve /etc/ssh/sshd_config: filene i sshd_config.d går foran, og på Ubuntu slår 50-cloud-init.conf passord på igjen der. Din 00-eigen.conf kommer før den og vinner. Sjekk med sshd -t (sier ingenting hvis alt stemmer) og sshd -T | grep -i passwordauthentication (skal vise no). Start deretter SSH på nytt med systemctl restart ssh (AlmaLinux og Rocky: systemctl restart sshd). Hold den nåværende økten åpen til du har sjekket i et annet vindu at du fortsatt kommer inn.

3. En brannmur

• Ubuntu og Debian: apt install -y ufw, så ufw allow OpenSSH, eventuelt ufw allow 80,443/tcp for et nettsted, og ufw enable.
• AlmaLinux og Rocky Linux: firewalld er allerede installert. For eksempel firewall-cmd --permanent --add-service=http --add-service=https og firewall-cmd --reload.

La alltid SSH (port 22) være åpen, ellers stenger du deg selv ute. Sjekk deretter med ufw status verbose at reglene dine også gjelder for IPv6 (regler med (v6)).

4. Fail2ban mot gjetteforsøk

apt install -y fail2ban eller dnf install -y epel-release && dnf install -y fail2ban, så systemctl enable --now fail2ban. Som standard blokkerer den IP-adresser som prøver feil passord for mange ganger. På Debian 12 legger du også inn backend = systemd under [sshd] i /etc/fail2ban/jail.local og installerer python3-systemd, ellers starter ikke overvåkingen av SSH. Debian 13 og Ubuntu gjør dette automatisk.

5. Et øyeblikksbilde som sikkerhetsnett

Ta et øyeblikksbilde i VPS-skjermen før du gjør store endringer. Går noe galt, gjenoppretter du det med ett klikk. Se Øyeblikksbilder og sikkerhetskopier av VPS-en din.

La qemu-guest-agent være

Programmet qemu-guest-agent er installert som standard. Med det kan du sette et nytt root-passord i VPS-skjermen og se diskbruken. Ikke fjern det.

Utfyllende forklaring med skjermbilder: Slå av innlogging med passord og som root og fail2ban mot gjetteforsøk i VPS-veiledningen.

Vil du lære mer? Ta det gratis kurset VPS og Linux-serveradministrasjon, leksjon 2.2 Sett opp SSH-serveren trygt eller leksjon 10.4 Sluttsjekk: gå gjennom serveren din.

Vil du lære mer? Ta det gratis kurset VPS og Linux-serveradministrasjon, leksjon 2.2 Sett opp SSH-serveren på en sikker måte eller leksjon 10.4 Sluttsjekk: serveren din under lupen.