Укрепление нового Debian VPS за десять минут

apt update && apt full-upgrade -y && reboot

Шаблоны — это снапшоты; разрыв между датой снапшота и сегодняшним днём — именно то окно, которое зондируют сканеры. Сначала применяйте патчи, перезагружайтесь в новое ядро, затем настраивайте.

adduser ops && usermod -aG sudo ops
mkdir -p /home/ops/.ssh && nano /home/ops/.ssh/authorized_keys   # paste your ed25519 public key
chmod 700 /home/ops/.ssh && chmod 600 /home/ops/.ssh/authorized_keys && chown -R ops:ops /home/ops/.ssh

Сгенерируйте ключ на локальной машине, если у вас его нет: ssh-keygen -t ed25519. Протестируйте ssh ops@your-ip во втором терминале перед продолжением.

Отредактируйте /etc/ssh/sshd_config.d/hardening.conf:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
MaxAuthTries 3
AllowUsers ops

Затем systemctl restart ssh — сначала убедившись, что сессия на основе ключа работает. Подбор пароля заканчивается здесь: угадывать нечего. Перевод порта на нестандартный снижает шум в журналах, но косметически, а не с точки зрения безопасности; делайте это для порядка, если хотите.

Встроенный брандмауэр Debian, минимальный набор правил в /etc/nftables.conf:

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport 22 accept
    icmp type echo-request limit rate 5/second accept
    icmpv6 type { echo-request, nd-neighbor-solicit, nd-neighbor-advert, nd-router-advert } accept
  }
}

systemctl enable --now nftables. Открывайте дополнительные порты только при развёртывании сервисов, которым они нужны — руководство по VPN открывает 51820/udp, руководство по почте 25/465/993 и т. д. Default-deny означает, что забытый тестовый демон становится недоступным, а не источником взлома.

apt install -y fail2ban
printf "[sshd]
enabled = true
maxretry = 4
bantime = 1h
" > /etc/fail2ban/jail.d/ssh.local
systemctl enable --now fail2ban

При уже отключённых паролях это глубокая защита плюс гигиена журналов — повторные нарушители сбрасываются брандмауэром вместо того, чтобы засорять журнал авторизации.

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

Команда безопасности Debian теперь патчит ваш сервер, пока вы спите. Самая эффективная строка на этой странице по числу нажатий клавиш: большинство реальных компрометаций эксплуатируют патчи, которые существовали месяцами.

Убедитесь в защищённости извне:

ssh root@your-ip          # must be refused
nmap -p- your-ip          # only 22 (and your service ports) open
last -a; journalctl -u ssh -n 50   # familiarise yourself with normal

При желании добавьте TOTP двухфакторную аутентификацию на вашем аккаунте VPSCrypto — панель может пересобрать или переустановить сервер, поэтому заслуживает той же заботы, что и root.