Базовая защита сервера — чеклист

Резюме

Минимальный набор мер для защиты Linux-сервера: обновления, SSH-ключи, firewall, fail2ban, смена порта SSH.

Применимо к:
✔ VPS
✔ Выделенные серверы
✔ Linux

1. Обновите систему

apt update && apt upgrade -y

Настройте автоматические обновления безопасности:

apt install unattended-upgrades -y

dpkg-reconfigure -plow unattended-upgrades

2. Настройте SSH-ключи и отключите вход по паролю

Сгенерируйте ключ на локальном компьютере:

ssh-keygen -t ed25519

Скопируйте на сервер:

ssh-copy-id root@IP_СЕРВЕРА

Убедитесь, что вход по ключу работает. Затем отключите вход по паролю в /etc/ssh/sshd_config:

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart sshd

3. Смените порт SSH

В /etc/ssh/sshd_config:

Port 2222

Откройте новый порт в firewall перед перезапуском:

ufw allow 2222/tcp

systemctl restart sshd

Подключение:

ssh -p 2222 root@IP_СЕРВЕРА

4. Настройте firewall

ufw default deny incoming

ufw default allow outgoing

ufw allow 2222/tcp

ufw allow 80/tcp

ufw allow 443/tcp

ufw enable

Проверьте правила:

ufw status

5. Установите fail2ban

apt install fail2ban -y

Создайте /etc/fail2ban/jail.local:

[sshd]
enabled = true
port = 2222
maxretry = 3
bantime = 3600

systemctl enable fail2ban

systemctl start fail2ban

6. Отключите неиспользуемые сервисы

Просмотрите запущенные сервисы:

systemctl list-units --type=service --state=running

Отключите ненужные:

systemctl disable --now ИМЯ_СЕРВИСА

7. Создайте непривилегированного пользователя

adduser admin

usermod -aG sudo admin

Работайте под этим пользователем, используя sudo для привилегированных операций.

Проверка результата

ufw status

fail2ban-client status sshd

ss -tlnp

Убедитесь, что открыты только необходимые порты.

Если после настройки firewall потеряли доступ к серверу, подключитесь через VNC/IPMI-консоль и скорректируйте правила. При необходимости обратитесь в техническую поддержку.