VPS mpya usalama dakika 10 kwanza

Dakika 10 za kwanza zinatamua usalama wa seva yako

VPS mpya si salama. Tangu ipate anwani ya umma ya IP, visomaji vinajaribu kuingia, na picha chaguomsingi inawapa lengo kubwa: root mara nyingi inafikika, nywila mara nyingi zinakubaliwa, hakuna ukuta wa moto, hakuna kitu kilichosakinishwa kulingana na ratiba. Habari njema ni kwamba kufunga hayo yote kuchukua takriban dakika kumi na chache ya amri. Hii ni daftari la uendeshaji ninazotumia kwenye kila seva mpya kabla ya kuweka kitu chochote.

Ifuate kwa mpangilio, kwa sababu hatua zinajengana. Kila moja ina mwongozo wake, uliounganishwa unapoendelea; ukurasa huu ni njia ya haraka inayoziunganisha.

Dakika 1: Sasisha kila kitu

Ingia kama root kwa kutumia vitambulisho alivyokupa mtoa huduma wako, kisha leta mfumo kuwa wa kisasa kabla ya kitu kingine chochote:

apt update && apt upgrade -y

Seva isiyosakinishwa masasisho ni lengo rahisi zaidi, hivyo hiiaja kwanza. Mara inapokamilika, weka masasisho ya kiotomatiki ya usalama ili isisasishwe bila wewe kukumbuka.

Dakika 2: Unda mtumiaji wa kawaida na sudo

Usiendelee kufanya kazi kama root. Unda mtumiaji kwa ajili yako na mpe sudo:

adduser matt
usermod -aG sudo matt

Kuanzia hapa unayingia kama mtumiaji huyu na kutumia sudo kwa kazi za usimamizi. Kuendesha kama root muda wote kunamaanisha kila kosa na kila uvunjaji hufanyika na mamlaka isiyo na kikomo, ambayo ndiyo hasa ukuendeshaji kama mtumiaji asiye na mamlaka unalenga kuzuia.

Dakika 4: Weka funguo za SSH

Nywila zinakisiwa; funguo hazikisiwi. Kwenye kompyuta yako, kama bado huna funguo, unda moja:

ssh-keygen -t ed25519

Kisha nakili nusu ya umma kwenye seva:

ssh-copy-id matt@YOUR_SERVER

ssh-copy-id inahitaji kuingia kwa nywila kuwa wazi kwa mtumiaji mpya; kama tayari imezimwa, nakili ~/.ssh/authorized_keys ya root ndani ya /home/matt/.ssh/authorized_keys (inayomilikiwa na matt), au bandika funguo yako ya umma kwenye faili hiyo kwa mkono.

Mfumo nyuma ya hatua hii, funguo moja kwa kila kifaa, ruhusa zinazovunja kuingia kwa funguo, na kubatilisha funguo iliyopotea, unaelezwa katika misingi ya usimamizi wa funguo za SSH.

Toka nje na ingia tena kama matt ukitumia funguo, na uhakikisha inafanya kazi kabla ya kugusa hatua inayofuata. Kufunga SSH kabla ya kuweza kuingia kwa funguo ndivyo watu wajifungia nje.

Dakika 6: Zima kuingia kwa root na nywila

Sasa funguo yako inafanya kazi, fungua milango miwili visomaji vinavyotegemea. Tumia faili la kudondoshwa ili masasisho ya pakiti hayatayafuta. Liite 00- ili lipange kabla ya 50-cloud-init.conf, ambayo picha za wingu za Ubuntu huja nayo PasswordAuthentication yes; sshd huhifadhi thamani ya kwanza inayoisoma, hivyo faili linapangwa baadaye lingepotea kimyakimya:

sudo nano /etc/ssh/sshd_config.d/00-hardening.conf

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no

Kisha pakia upya SSH:

sudo systemctl restart ssh

Kisha angalia mipangilio sshd inayotumia kwa kweli, ili faili la kudondoshwa linaloshinda lisikudanganye:

sudo sshd -T | grep -Ei 'passwordauthentication|permitrootlogin'

Ukiwa na nywila zimezimwa na kuingia kwa root kumeondolewa, trafiki ya mara kwa mara ya mashambulizi ya nguvu-brutu dhidi ya seva yako haiwezi kufanikiwa. Matibabu kamili, ikiwa ni pamoja na mabadiliko ya bandari ya hiari, yapo katika ukuimarishaji wa SSH kwenye VPS.

Dakika 8: Washa ukuta wa moto

Kata kila kitu kinachoingia kwa chaguomsingi, kisha ruhusu tu kile unachohitaji. Ruhusu SSH kabla ya kukiwasha, la sivyo unakata muunganisho wako mwenyewe:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Ongeza kanuni za allow kwa kila huduma unayoendesha, kama vile 80/tcp na 443/tcp kwa tovuti. Hakikisha IPv4 na IPv6 zote zimefunikwa, kwa sababu ukuta wa moto unaofilteri IPv4 tu unaacha upande wa IPv6 wazi kabisa. Mwongozo kamili ni Ukuta wa moto 101 kwenye VPS.

Dakika 10: Punguza visomaji kwa Fail2ban

Mwishowe, ongeza Fail2ban ili kuwafukuza anwani zinazopiga mara kwa mara bandari zako:

sudo apt install -y fail2ban

Kwenye Ubuntu 24.04 usakinishaji wa kawaida hulinda SSH tangu boot ya kwanza. Ukiwa na funguo tayari zinahitajika, hii ni mstari wa ulinzi unaopunguza kelele za logi na kuzuia waliokiuka mara kwa mara, badala ya ulinzi wako kuu.

Orodha yako ya ukaguzi

Hiyo ndiyo daftari la uendeshaji. Tumia kizazi hapa chini kuweka alama kwenye kila udhibiti na kuunda orodha ya ukaguzi iliyoboreshwa unayoweza kuishikilia na seva, ikiwa ni pamoja na amri sahihi kwa kila hatua:

Ifuate chini kwa mara moja kwa kila seva mpya na kitu kizima kinakuwa kumbukumbu ya misuli. Dakika kumi sasa hukuokoa jioni mbaya sana inayofuata baada ya seva kudhibitiwa.

Mara misingi ikawa mahali, masasisho ya kiotomatiki ya usalama kwenye Ubuntu yanaendelea kusasisha seva bila wewe kuingia tena.

FAQ

Nifanye nini kwanza kwenye VPS mpya?

Sasisha mfumo kwa kutumia apt update && apt upgrade -y, kisha unda mtumiaji wa kawaida aliye na sudo na acha kufanya kazi kama root. Kutoka hapo, weka funguo za SSH, zemaza kuingia kwa root na uthibitisho wa nywila, washa ukuta wa moto wa chaguomsingi-kata, na sakinisha Fail2ban. Kuzifanya kwa mpangilio huo kunamaanisha kila hatua ni salama kuchukua bila kujifungia nje.

Nijiepuke vipi kujifungia nje wakati naimarisha SSH?

Weka na jaribu kuingia kwa funguo yako ya SSH kabla ya kuzima nywila au root. Toka nje na ingia tena kwa funguo kuhakikisha inafanya kazi, na tu baada ya hapo zimaza PasswordAuthentication na PermitRootLogin. Unapoasha ukuta wa moto, ruhusu bandari 22 kabla ya kuendesha ufw enable. Kama unajifungia nje, konsoli ya wavuti ya mtoa huduma wako hukurudisha ndani bila SSH.

Je, nahitaji kweli hayo yote kwenye seva ndogo?

Ndio, kwa sababu visomaji havijali seva yako ni ndogo vipi. Vinajaribu kila IP ya umma kwa njia ile ile. Daftari zima la uendeshaji huchukua takriban dakika kumi na kuondoa njia rahisi: hakuna kuingia kwa root, hakuna kukisia nywila, hakuna kitu kilichofunuliwa ambacho hukuchagua, na mdudu uliojulikana umesakinishwa kiotomatiki.

Je, ni hatua gani moja muhimu zaidi?

SSH kwa funguo tu ukiwa na kuingia kwa root kimezimwa. Mashambulizi mengi kwenye VPS mpya ni makisio ya kiotomatiki ya nywila dhidi ya root, na kuzima yote hayo hufanya aina hiyo yote ya mashambulizi kuwa haiwezekani. Ukuta wa moto na Fail2ban kisha hupunguza kilichofunuliwa na kupunguza kasi cha chochote kinachobaki.

Nijihakikishe vipi seva imefungwa kwa kweli?

Kagua mambo matatu kwa mkono kabla ya kuiamini. Endesha sudo ss -tlnp na uhakikishe tu bandari ulizokusudia kufungua zinasikilizwa kwenye anwani ya umma, bila huduma yoyote ya 0.0.0.0 au [::] uliyosahau. Endesha sudo ufw status verbose na uhakikishe sera chaguomsingi inayoingia ni deny na kwamba kanuni za kawaida na za (v6) zote zipo. Na daima fungua kikao cha pili cha SSH kabla ya kufunga cha kwanza, ili kosa katika usanidi wa SSH lisikufungie nje ya seva. Kama yote mitatu inaonekana sawa, misingi iko mahali.