Säkra din VPS: de första fem minuterna

En ny server på internet skannas inom några minuter av botar som provar lösenord. Med de här stegen ligger du långt före dem. Kör dem som root.

1. Uppdatera allt och slå på automatiska uppdateringar

• Ubuntu och Debian: apt update && apt upgrade -y, sedan apt install -y unattended-upgrades och dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux och Rocky Linux: dnf upgrade -y, sedan dnf install -y dnf-automatic och systemctl enable --now dnf-automatic-install.timer.

2. Logga in med en nyckel, stäng av lösenord

Lägg först din SSH-nyckel på servern (se Logga in på din VPS med SSH) och testa att inloggning med nyckeln fungerar. Skapa sedan en egen inställningsfil /etc/ssh/sshd_config.d/00-eigen.conf med de här raderna:

PasswordAuthentication no
KbdInteractiveAuthentication no

Lägg det inte i själva /etc/ssh/sshd_config: filerna i sshd_config.d har företräde, och på Ubuntu slår 50-cloud-init.conf där på lösenord igen. Din 00-eigen.conf kommer före och vinner. Kontrollera med sshd -t (säger ingenting om allt stämmer) och sshd -T | grep -i passwordauthentication (ska visa no). Starta sedan om SSH med systemctl restart ssh (AlmaLinux och Rocky: systemctl restart sshd). Håll din nuvarande session öppen tills du i ett andra fönster har kontrollerat att du fortfarande kommer in.

3. En brandvägg

• Ubuntu och Debian: apt install -y ufw, sedan ufw allow OpenSSH, eventuellt ufw allow 80,443/tcp för en webbplats, och ufw enable.
• AlmaLinux och Rocky Linux: firewalld finns redan. Till exempel firewall-cmd --permanent --add-service=http --add-service=https och firewall-cmd --reload.

Låt alltid SSH (port 22) vara öppen, annars låser du ute dig själv.

4. Fail2ban mot gissningsförsök

apt install -y fail2ban eller dnf install -y epel-release && dnf install -y fail2ban, sedan systemctl enable --now fail2ban. Som standard blockerar den IP-adresser som för ofta provar fel lösenord. På Debian 12 lägger du i /etc/fail2ban/jail.local under [sshd] även till backend = systemd och installerar python3-systemd, annars startar inte bevakningen av SSH. Debian 13 och Ubuntu gör det redan automatiskt.

5. En snapshot som skyddsnät

Ta en snapshot i din VPS-vy innan du gör stora ändringar. Går något fel återställer du den med ett klick. Se Snapshots och backuper av din VPS.

Låt qemu-guest-agent vara kvar

Programmet qemu-guest-agent är installerat som standard. Med det kan du sätta ett nytt root-lösenord i VPS-vyn och se diskanvändningen. Ta inte bort det.

Utförlig förklaring med skärmbilder: Stäng av inloggning med lösenord och som root och fail2ban mot gissningsförsök i VPS-handboken.

Vill du lära dig mer? Gå den kostnadsfria kursen VPS och Linux-serveradministration, lektion 2.2 Ställ in SSH-servern säkert eller lektion 10.4 Slutkontroll: granska din server.