Kufanya VPS mpya iwe salama: checklist inayohusika kweli

Dakika kumi za kwanza kwenye VPS mpya huamua mengi kimya. IP mpya ya umma inaanza kujancha na bots za kiotomatiki karibu mara moja — hazikulengi wewe, zinascan tu kila kitu. Usifanye chochote nawe unategemea bahati. Fanya vitu vinne au vitano vidogo nawe umefunga milango inayolatwa kweli. Hii ndio orodha, kwa mpangilio wa kipaumbele, na amri.

1. SSH keys, na ua password login

Hii ndiyo inayohusika zaidi. Kama unaweza kuingia na password, ndivyo bot inayoikisia inaweza — nazo hujaribu maelfu kwa dakika.

Kutoka laptop yako, kama huna key tayari:

ssh-keygen -t ed25519 -C "you@laptop"
ssh-copy-id root@your-server-ip

Kisha kwenye seva, zima passwords:

# /etc/ssh/sshd_config.d/99-hardening.conf
PasswordAuthentication no
PermitRootLogin prohibit-password

sudo systemctl reload ssh

⚠️ Jaribu kikao cha pili cha SSH kabla ya kufunga cha kwanza — kama key login inafanya kazi, vizuri; kama si, bado una kikao kilicho wazi kukirekebisha. Kujifungia nje ni own-goal ya klasik hapa.

2. Firewall — kataa kwa chaguo-msingi

Funua tu unachomaanisha. Kwenye Ubuntu/Debian:

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH        # au SSH port yako
sudo ufw enable

Sasa huduma iliyopotea haiwezi kufikiwa kutoka nje isipokuwa uifungue. Hii hukamata kitu utakachosahau bila shaka.

Kumbuka moja kwa mipango ya NAT-style: SSH yako inatua kwenye port iliyoelekezwa, si 22, na huwezi kufungua ports za kiholela zinazoingia — isolation hufanya sehemu ya kazi hii kwa ajili yako. Kwenye mpango wa dedicated-IP unamiliki ports zote, hivyo firewall hufanya kazi zaidi.

3. Updates za usalama za kiotomatiki

Seva nyingi zinazopop hazikuwa malengo ya ujanja — zilikuwa zikiendesha bug inayojulikana ambayo patch tayari imeirekebisha, kwenye sanduku ambalo hakuna aliyeliupdate. Fanya patching kuwa ya kiotomatiki:

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Set-and-forget. Hii ni tabia ya thamani ya juu zaidi baada ya SSH keys.

4. fail2ban (ya hiari, lakini nafuu)

Na password login tayari imezimwa, brute force haiwezi kushinda — hivyo hii ni kuhusu kutraia noise na kubin IPs za unyanyasaji mapema badala ya ulinzi wa msingi:

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban

Inastahili kwa logs tulivu zaidi; iruke bila hatia kama unaweka mambo madogo.

Unachoweza kuruka

• Kubadilisha SSH port — hukata bot noise, haizuii mshambuliaji halisi. Cosmetic. Usikichanganye na usalama.
• IDS/SELinux tuning ya kina — kupita kiasi kwa sanduku la kusudi-moja linaloendesha bot au agent. Returns zinazopungua.

Muhtasari wa uaminifu

Kama utafanya kitu kimoja tu, fanya SSH keys + hakuna password login. Ongeza firewall na auto-updates nawe umeshughulikia wingi mkubwa wa hatari ya ulimwengu-halisi katika chini ya dakika kumi. Kila kitu zaidi ya hapo ni polish.

Unaendesha agent au bot ya kila wakati kwenye sanduku? Iunge hii na kuiweka hai chini ya systemd ili ibaki kupitia reboots na crashes, si tu washambuliaji.