Sikre en Ubuntu 26.04-VPS

Introduksjon

Å sikre din VPS er avgjørende for å beskytte dataene dine og tjenester mot uautorisert tilgang og angrep. Denne guiden dekker essensielle sikkerhetstiltak du bør implementere på serveren din.

Forutsetninger

• En VPS med SSH-tilgang
• Root eller sudo-privilegier
• Fullført Komme i gang med VPS-guiden

Steg 1: Deaktiver root-pålogging

Å kjøre tjenester som root er en sikkerhetsrisiko. La oss deaktivere direkte root-pålogging via SSH.

Rediger SSH-konfigurasjon

sudo nano /etc/ssh/sshd_config

Finn og modifiser disse linjene:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Valider og last SSH-konfigurasjonen trygt

sudo sshd -t
sudo systemctl reload ssh

Steg 2: Konfigurer avanserte brannmurregler

Utover grunnleggende UFW-oppsett, la oss legge til hastighetsbegrensning for å forhindre brute-force-angrep.

Aktiver hastighetsbegrensning for SSH

sudo ufw limit ssh

Dette bruker UFWs profil for å begrense hyppige nye SSH-forbindelser. Tiltaket erstatter ikke nøkkelautentisering eller overvåking.

Konfigurer applikasjonsspesifikke regler

For en webserver:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Vis alle regler

sudo ufw status numbered

Slett en regel

sudo ufw delete [nummer]

Steg 3: Installer og konfigurer Fail2Ban

Fail2Ban overvåker innloggingsforsøk og blokkerer IP-adresser som viser ondsinnet aktivitet.

Installer Fail2Ban

sudo apt install fail2ban -y

Opprett et minimalt lokalt override

sudo nano /etc/fail2ban/jail.d/sshd.local

Konfigurer SSH-beskyttelse

Legg bare inn SSH-innstillingene du vil overstyre. Da kan pakkeoppdateringer fortsatt oppdatere standardinnstillingene fra distribusjonen:

[sshd]
enabled = true
port = ssh
filter = sshd
backend = systemd
maxretry = 3
bantime = 3600
findtime = 600

Denne konfigurasjonen:

• Blokkerer IP-adresser etter 3 mislykkede påloggingsforsøk
• Blokkeringen varer i 1 time (3600 sekunder)
• Overvåker forsøk innen 10 minutter (600 sekunder)

systemd-backenden leser SSH-hendelser fra journalen, så dette override-et trenger ikke en hardkodet sti til en eldre loggfil.

Ta i bruk konfigurasjonen

sudo fail2ban-client -t
sudo systemctl enable fail2ban
sudo systemctl restart fail2ban
sudo systemctl status fail2ban --no-pager

Sjekk Fail2Ban-status

sudo fail2ban-client status
sudo fail2ban-client status sshd

Fjern ban på en IP

Hvis du ved et uhell banner deg selv:

sudo fail2ban-client set sshd unbanip DIN_IP_ADRESSE

Steg 4: Aktiver automatiske sikkerhetsoppdateringer

Hold systemet ditt oppdatert automatisk for sikkerhetsoppdateringer.

Installer Unattended Upgrades

sudo apt install unattended-upgrades -y

Konfigurer automatiske oppdateringer

sudo dpkg-reconfigure -plow unattended-upgrades

Velg “Ja” når du blir spurt.

Tilpass oppdateringsinnstillinger

Rediger konfigurasjonen:

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

Sørg for at disse linjene ikke er kommentert ut:

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};

Unattended-Upgrade::Automatic-Reboot "false";
Unattended-Upgrade::AutoFixInterruptedDpkg "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

Trenger du hjelp?

Sikkerhetsspørsmål eller bekymringer?

• Bli med i vårt Discord-fellesskap
• E-post: shrp@shrp.no

Husk: Sikkerhet er en kontinuerlig prosess, ikke et engangsoppsett. Hold deg årvåken og hold systemene dine oppdatert!