Zaštita Vašeg VPS-a: prvih pet minuta

Novi poslužitelj na internetu u roku od nekoliko minuta počnu skenirati botovi koji isprobavaju lozinke. Ovim koracima bit ćete daleko ispred njih. Izvršite ih kao root ili s naredbom sudo. Nakon toga radije radite s vlastitim korisnikom sa sudo ovlastima i isključite prijavu kao root, pogledajte Vlastiti korisnik sa sudo ovlastima u priručniku za VPS.

1. Ažurirajte sve i uključite automatsko ažuriranje

• Ubuntu i Debian: apt update && apt upgrade -y, zatim apt install -y unattended-upgrades i dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux i Rocky Linux: dnf upgrade -y, zatim dnf install -y dnf-automatic i systemctl enable --now dnf-automatic-install.timer.

Provjerite radi li to doista. Na Ubuntuu i Debianu probno pokretanje napravite s unattended-upgrade --dry-run --debug, a u /var/log/unattended-upgrades/ vidite što je ažurirano. Nova jezgra (kernel) počinje raditi tek nakon ponovnog pokretanja: ako postoji datoteka /var/run/reboot-required, ponovno pokrenite svoj VPS u mirnom trenutku. Pogledajte Ažuriranja i automatska ažuriranja.

2. Prijava ključem, lozinke isključene

Najprije postavite svoj SSH ključ na poslužitelj (pogledajte Prijava na Vaš VPS putem SSH-a) i provjerite radi li prijava ključem. Zatim izradite vlastitu datoteku postavki /etc/ssh/sshd_config.d/00-eigen.conf s ovim redcima:

PasswordAuthentication no
KbdInteractiveAuthentication no

Nemojte ih staviti u samu datoteku /etc/ssh/sshd_config: datoteke u sshd_config.d imaju prednost, a na Ubuntuu 50-cloud-init.conf ondje ponovno uključuje lozinke. Vaša datoteka 00-eigen.conf učitava se prije nje i ima prednost. Provjerite s sshd -t (ne ispisuje ništa ako je sve ispravno) i sshd -T | grep -i passwordauthentication (mora prikazati no). Zatim ponovno pokrenite SSH s systemctl restart ssh (AlmaLinux i Rocky: systemctl restart sshd). Držite trenutačnu sesiju otvorenom dok u drugom prozoru ne provjerite možete li se i dalje prijaviti.

3. Vatrozid

• Ubuntu i Debian: apt install -y ufw, zatim ufw allow OpenSSH, po potrebi ufw allow 80,443/tcp za web-stranicu, i ufw enable.
• AlmaLinux i Rocky Linux: firewalld je već instaliran. Na primjer firewall-cmd --permanent --add-service=http --add-service=https i firewall-cmd --reload.

Uvijek ostavite SSH (port 22) otvorenim, inače ćete sami sebi onemogućiti pristup. Zatim s ufw status verbose provjerite postoje li Vaša pravila i za IPv6 (pravila s (v6)).

4. Fail2ban protiv pokušaja pogađanja

apt install -y fail2ban ili dnf install -y epel-release && dnf install -y fail2ban, zatim systemctl enable --now fail2ban. Prema zadanim postavkama blokira IP adrese koje prečesto pokušaju s pogrešnom lozinkom. Na Debianu 12 u /etc/fail2ban/jail.local pod [sshd] dodajte i backend = systemd te instalirajte python3-systemd, inače se nadzor SSH-a neće pokrenuti. Debian 13 i Ubuntu to već rade sami.

5. Snapshot kao sigurnosna mreža

Prije većih izmjena napravite snapshot na zaslonu svog VPS-a. Ako nešto pođe po zlu, vratite ga jednim klikom. Pogledajte Snapshotovi i sigurnosne kopije Vašeg VPS-a.

Ostavite qemu-guest-agent instaliran

Program qemu-guest-agent instaliran je prema zadanim postavkama. Pomoću njega na zaslonu VPS-a možete postaviti novu root lozinku i vidjeti zauzeće diska. Nemojte ga uklanjati.

Detaljno objašnjenje sa snimkama zaslona: Isključivanje prijave lozinkom i kao root i fail2ban protiv pokušaja pogađanja u priručniku za VPS.

Želite li naučiti više? Pohađajte besplatni tečaj VPS i administracija Linux poslužitelja, lekciju 2.2 Sigurno postavljanje SSH poslužitelja ili lekciju 10.4 Završna provjera: Vaš poslužitelj pod povećalom.