Tăng cường bảo mật Debian VPS trong mười phút

apt update && apt full-upgrade -y && reboot

Template là snapshot; khoảng cách giữa ngày snapshot và hôm nay chính xác là cửa sổ mà máy quét dò tìm. Vá trước, khởi động lại vào kernel mới, sau đó cấu hình.

adduser ops && usermod -aG sudo ops
mkdir -p /home/ops/.ssh && nano /home/ops/.ssh/authorized_keys   # paste your ed25519 public key
chmod 700 /home/ops/.ssh && chmod 600 /home/ops/.ssh/authorized_keys && chown -R ops:ops /home/ops/.ssh

Tạo key trên máy cục bộ của bạn nếu bạn chưa có: ssh-keygen -t ed25519. Kiểm tra ssh ops@your-ip trong một terminal thứ hai trước khi tiếp tục.

Chỉnh sửa /etc/ssh/sshd_config.d/hardening.conf:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
MaxAuthTries 3
AllowUsers ops

Sau đó systemctl restart ssh — với phiên dựa trên key của bạn đã được xác nhận hoạt động trước. Việc đoán mật khẩu chết ở đây: không có mật khẩu để đoán. Di chuyển cổng sang thứ gì đó phi tiêu chuẩn làm giảm tiếng ồn nhật ký nhưng là thẩm mỹ, không phải bảo mật; làm vậy cho gọn gàng nếu bạn thích.

Firewall gốc của Debian, bộ quy tắc tối thiểu trong /etc/nftables.conf:

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport 22 accept
    icmp type echo-request limit rate 5/second accept
    icmpv6 type { echo-request, nd-neighbor-solicit, nd-neighbor-advert, nd-router-advert } accept
  }
}

systemctl enable --now nftables. Chỉ mở thêm cổng khi bạn triển khai các dịch vụ cần chúng — hướng dẫn VPN mở 51820/udp, hướng dẫn mail mở 25/465/993, v.v. Từ chối mặc định có nghĩa là daemon thử nghiệm bị quên sẽ không thể truy cập thay vì là một vi phạm.

apt install -y fail2ban
printf "[sshd]
enabled = true
maxretry = 4
bantime = 1h
" > /etc/fail2ban/jail.d/ssh.local
systemctl enable --now fail2ban

Với mật khẩu đã bị vô hiệu hóa, đây là phòng thủ theo chiều sâu cộng với vệ sinh nhật ký — những kẻ vi phạm lặp lại bị hủy ở firewall thay vì làm đầy nhật ký xác thực của bạn.

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

Đội bảo mật của Debian giờ vá hộp của bạn trong khi bạn ngủ. Dòng hiệu quả nhất trên trang này được tính theo số lần nhấn phím: hầu hết các xâm phạm thực sự khai thác các bản vá đã tồn tại nhiều tháng.

Xác nhận tư thế từ bên ngoài:

ssh root@your-ip          # must be refused
nmap -p- your-ip          # only 22 (and your service ports) open
last -a; journalctl -u ssh -n 50   # familiarise yourself with normal

Tùy chọn thêm TOTP 2FA trên tài khoản VPSCrypto của bạn — bảng điều khiển có thể xây dựng lại hoặc reimages máy chủ, vì vậy nó xứng đáng được chăm sóc như root.