Securizarea unui VPS nou

Cheia rămâne pe mașina ta; pe server ajunge doar partea publică. Ed25519 e alegerea implicită de ani buni: chei scurte, verificare rapidă.

Dacă ai deja o cheie în ~/.ssh/id_ed25519.pub, sari peste pasul ăsta.

ssh-keygen -t ed25519 -C "vps-servervps"

AtențiePune o parolă la cheie. Fără ea, cine îți fură laptopul intră pe server fără să mai aibă nevoie de altceva.

ssh-copy-id o adaugă în ~/.ssh/authorized_keys cu permisiunile corecte. Îți cere o singură dată parola de root.

După comandă, verifică într-un terminal nou că intri fără parolă. Nu închide sesiunea curentă până nu confirmi asta.

ssh-copy-id root@IP_SERVER
ssh root@IP_SERVER

Lucrul zilnic ca root transformă orice greșeală de tastare într-un incident. Creează un cont propriu și mută cheia pe el.

Pe AlmaLinux, grupul se numește wheel în loc de sudo.

adduser numeutilizator
usermod -aG sudo numeutilizator      # AlmaLinux: usermod -aG wheel numeutilizator
rsync --archive --chown=numeutilizator:numeutilizator ~/.ssh /home/numeutilizator

Aici dispare majoritatea zgomotului: atacurile prin ghicirea parolei nu mai au ce ghici. Editează configurația serverului SSH.

Testează într-un terminal nou înainte să închizi sesiunea curentă. Dacă ai greșit ceva, sesiunea deschisă e singura cale de întoarcere.

# în /etc/ssh/sshd_config
PermitRootLogin prohibit-password
PasswordAuthentication no

# apoi
systemctl restart ssh    # AlmaLinux: systemctl restart sshd

AtențieConfirmă că intri cu cheia din alt terminal ÎNAINTE să închizi sesiunea de root. Altfel rămâi pe dinafară și ai nevoie de consolă din panou.

Regula e simplă: închis implicit, deschis punctual. Deschide SSH înainte să activezi firewall-ul, altfel te blochezi singur.

# Debian / Ubuntu
ufw allow OpenSSH
ufw allow 80,443/tcp
ufw enable

# AlmaLinux
firewall-cmd --permanent --add-service={ssh,http,https}
firewall-cmd --reload

AtențieDacă rulezi Docker, ține minte că el scrie direct în iptables și poate publica porturi pe care ufw le arată închise. Leagă porturile de 127.0.0.1 pentru serviciile care nu trebuie expuse.

Cele mai multe compromiteri exploatează vulnerabilități cunoscute de luni de zile. Actualizările automate rezolvă asta fără să te bazezi pe memorie.

# Debian / Ubuntu
apt install unattended-upgrades
dpkg-reconfigure --priority=low unattended-upgrades

# AlmaLinux
dnf install dnf-automatic
systemctl enable --now dnf-automatic.timer

Cu autentificarea prin parolă dezactivată, fail2ban nu mai e critic pentru SSH, dar taie zgomotul din loguri și acoperă alte servicii pe care le vei expune mai târziu.

apt install fail2ban && systemctl enable --now fail2ban
fail2ban-client status sshd