एक ताज़ा VPS पर पहले दस मिनट चुपचाप बहुत कुछ तय करते हैं। एक नया सार्वजनिक IP लगभग तुरंत स्वचालित बॉट द्वारा जाँचा जाना शुरू होता है — वे आपको लक्ष्य नहीं कर रहे, वे बस सब कुछ स्कैन करते हैं। कुछ न करें और आप क़िस्मत पर निर्भर हैं। चार या पाँच छोटी चीज़ें करें और आपने वे दरवाज़े बंद कर दिए जो असल में लात मारे जाते हैं। यहाँ सूची है, प्राथमिकता क्रम में, कमांड के साथ।
1. SSH कुंजियाँ, और पासवर्ड लॉगिन मारें
यही वह है जो सबसे ज़्यादा मायने रखता है। अगर आप एक पासवर्ड से लॉग इन कर सकते हैं, तो एक बॉट भी कर सकता है जो इसका अनुमान लगाए — और वे प्रति मिनट हज़ारों आज़माते हैं।
अपने लैपटॉप से, अगर आपके पास पहले से एक कुंजी नहीं है:
ssh-keygen -t ed25519 -C "you@laptop"
ssh-copy-id root@your-server-ip
फिर सर्वर पर, पासवर्ड बंद करें:
# /etc/ssh/sshd_config.d/99-hardening.conf
PasswordAuthentication no
PermitRootLogin prohibit-password
sudo systemctl reload ssh
⚠️ पहले वाला बंद करने से पहले एक दूसरा SSH सत्र परखें — अगर कुंजी लॉगिन काम करे, बढ़िया; अगर नहीं, आपके पास अभी भी इसे ठीक करने के लिए खुला सत्र है। ख़ुद को लॉक करना यहाँ क्लासिक आत्म-गोल है।
2. एक फ़ायरवॉल — डिफ़ॉल्ट deny
सिर्फ़ वह उजागर करें जो आप चाहते हैं। Ubuntu/Debian पर:
sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH # या आपका SSH पोर्ट
sudo ufw enable
अब एक भटकी हुई सेवा बाहर से पहुँची नहीं जा सकती जब तक आप इसे न खोलें। यह उस चीज़ को पकड़ता है जिसके बारे में आप अनिवार्य रूप से भूल जाएँगे।
NAT-शैली प्लान के लिए एक नोट: आपका SSH एक फ़ॉरवर्ड किए पोर्ट पर उतरता है, 22 पर नहीं, और आप मनचाहे इनबाउंड पोर्ट नहीं खोल सकते — अलगाव यह काम का हिस्सा आपके लिए करता है। एक डेडिकेटेड-IP प्लान पर आप सारे पोर्ट के मालिक हैं, तो फ़ायरवॉल ज़्यादा काम करता है।
3. स्वचालित सुरक्षा अपडेट
ज़्यादातर सर्वर जो पॉप होते हैं वे चतुर लक्ष्य नहीं थे — वे एक ज्ञात बग चला रहे थे जिसे एक पैच पहले ही ठीक कर चुका था, एक ऐसे बॉक्स पर जिसे किसी ने अपडेट नहीं किया। पैचिंग को स्वचालित बनाएँ:
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades
सेट-एंड-फ़ॉरगेट। यह SSH कुंजियों के बाद सबसे उच्च-मूल्य आदत है।
4. fail2ban (वैकल्पिक, पर सस्ता)
पासवर्ड लॉगिन पहले से बंद के साथ, ब्रूट फ़ोर्स नहीं जीत सकता — तो यह शोर कम करने और अपमानजनक IP को जल्दी बैन करने के बारे में है, न कि मुख्य सुरक्षा:
sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
शांत लॉग के लिए सार्थक; अगर आप चीज़ें न्यूनतम रख रहे हैं तो बिना अपराधबोध के इसे छोड़ें।
आप क्या छोड़ सकते हैं
- SSH पोर्ट बदलना — बॉट शोर काटता है, किसी असली हमलावर को नहीं रोकता। सतही। इसे सुरक्षा से भ्रमित न करें।
- विस्तृत IDS/SELinux ट्यूनिंग — एक बॉट या एजेंट चलाते एक एकल-उद्देश्य बॉक्स के लिए ज़रूरत से ज़्यादा। घटता प्रतिफल।
ईमानदार सारांश
अगर आप सिर्फ़ एक चीज़ करें, SSH कुंजियाँ + कोई पासवर्ड लॉगिन नहीं करें। फ़ायरवॉल और ऑटो-अपडेट जोड़ें और आपने दस मिनट से ख़ूब कम में असल-दुनिया जोखिम का ज़बरदस्त बहुमत संभाल लिया। उसके आगे सब कुछ पॉलिश है।
बॉक्स पर एक हरदम-चालू एजेंट या बॉट चला रहे हैं? इसे systemd के तहत इसे ज़िंदा रखने के साथ जोड़ें ताकि यह रीबूट और क्रैश झेले, न कि सिर्फ़ हमलावर।
VPS पर स्वचालित सुरक्षा अपडेट कैसे चालू करें → · VPS पर सेल्फ़-होस्टेड AI एजेंट को सुरक्षित करना →
टिप्पणियाँ
अभी तक कोई टिप्पणी नहीं। पहले बनें।