Securizarea unui VPS nou: lista de verificare care contează cu adevărat

Primele zece minute pe un VPS proaspăt decid discret multe. Un IP public nou începe să fie scanat de boți automați aproape imediat — nu te vizează pe tine, scanează pur și simplu tot. Dacă nu faci nimic, te bazezi pe noroc. Dacă faci patru-cinci lucruri mici, ai închis ușile care chiar sunt sparte. Iată lista, în ordinea priorității, cu comenzile.

1. Chei SSH și oprirea autentificării cu parolă

Ăsta e pasul care contează cel mai mult. Dacă te poți autentifica cu o parolă, se poate și un bot care o ghicește — iar ei încearcă mii pe minut.

De pe laptop, dacă n-ai deja o cheie:

ssh-keygen -t ed25519 -C "you@laptop"
ssh-copy-id root@your-server-ip

Apoi, pe server, oprește parolele:

# /etc/ssh/sshd_config.d/99-hardening.conf
PasswordAuthentication no
PermitRootLogin prohibit-password

sudo systemctl reload ssh

⚠️ Testează o a doua sesiune SSH înainte s-o închizi pe prima — dacă autentificarea cu cheie merge, perfect; dacă nu, ai încă sesiunea deschisă ca s-o repari. Să te încui singur afară e golul clasic în propria poartă.

2. Un firewall — blocare implicită

Expune doar ce vrei să expui. Pe Ubuntu/Debian:

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH        # or your SSH port
sudo ufw enable

Acum un serviciu rătăcit nu poate fi accesat din exterior dacă nu-l deschizi tu. Asta prinde lucrul de care, inevitabil, vei uita.

O notă pentru planurile de tip NAT: SSH-ul tău ajunge pe un port redirecționat, nu pe 22, și nu poți deschide porturi de intrare arbitrare — izolarea face o parte din treaba asta în locul tău. Pe un plan cu IP dedicat deții toate porturile, deci firewallul are mai mult de lucru.

3. Actualizări automate de securitate

Majoritatea serverelor sparte n-au fost ținte ingenioase — rulau un bug cunoscut, deja reparat de un patch, pe o mașină pe care n-o actualiza nimeni. Fă actualizarea automată:

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Setezi și uiți. E cel mai valoros obicei după cheile SSH.

4. fail2ban (opțional, dar ieftin)

Cu autentificarea cu parolă deja oprită, brute-force-ul nu poate câștiga — deci aici e vorba de redus zgomotul și de blocat devreme IP-urile abuzive, nu de protecția de bază:

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban

Merită pentru logurile mai liniștite; sari peste el fără remușcări dacă ții lucrurile la minimum.

Ce poți sări

• Schimbarea portului SSH — reduce zgomotul boților, nu oprește niciun atacator real. Cosmetic. N-o confunda cu securitatea.
• Ajustări elaborate de IDS/SELinux — prea mult pentru o mașină cu un singur scop, care rulează un bot sau un agent. Randament în scădere.

Rezumatul cinstit

Dacă faci un singur lucru, fă chei SSH + fără autentificare cu parolă. Adaugă firewallul și actualizările automate și ai acoperit marea majoritate a riscurilor reale, în mult sub zece minute. Tot ce e dincolo e lustru.

Rulezi pe mașină un agent sau un bot mereu pornit? Combină asta cu ținerea lui în viață sub systemd, ca să supraviețuiască repornirilor și căderilor, nu doar atacatorilor.

Cum pornești actualizările automate de securitate pe un VPS → · Securizarea unui agent AI găzduit pe un VPS →

Cum creezi un utilizator sudo pe un VPS și renunți la root →