🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
👩💻 Чек-лист: базовая безопасность сервера Ubuntu/Debian сразу после развертывания
Новый сервер уже через несколько минут после запуска могут начать сканировать боты: искать открытые порты, слабые пароли и известные уязвимости.
1️⃣Обновите систему
Сначала установите актуальные обновления и патчи безопасности:
apt update && apt upgrade -y
2️⃣Создайте отдельного sudo-пользователя
Постоянно работать под root — плохая практика.
adduser devops_user usermod -aG sudo devops_user
На минимальной установке Debian может понадобиться:
apt install sudo -y
3️⃣Настройте вход по SSH-ключу
Со своего компьютера скопируйте публичный ключ на сервер:
ssh-copy-id devops_user@IP_СЕРВЕРА
Проверьте, что вход под новым пользователем действительно работает, и только после этого отключайте парольную авторизацию.
❗️Не закрывайте текущую SSH-сессию, пока не протестировали вход в новой вкладке терминала.
4️⃣Усильте настройки SSH
Откройте файл:
nano /etc/ssh/sshd_config
Установите параметры:
PermitRootLogin no PasswordAuthentication no PubkeyAuthentication yes
При необходимости можно сменить стандартный SSH-порт:
Port 2222
Но помните: смена порта уменьшает количество автоматического мусора в логах, но не заменяет ключи, firewall и обновления.
💡В современных версиях Ubuntu параметры могут переопределяться файлами из:
/etc/ssh/sshd_config.d/
Особенно проверьте:
/etc/ssh/sshd_config.d/50-cloud-init.conf
Посмотреть итоговую конфигурацию SSH можно командой:
sshd -T
Проверьте конфигурацию и перезапустите службу:
sshd -t && systemctl restart ssh
5️⃣ Включите firewall
Разрешите только те порты, которые действительно нужны:
apt install ufw -y
ufw allow 2222/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable
ufw status
Если SSH работает на стандартном порту, разрешите 22/tcp вместо 2222/tcp.
6️⃣Установите Fail2Ban
Fail2Ban анализирует логи и временно блокирует IP-адреса с подозрительной активностью:
apt install fail2ban -y systemctl enable --now fail2ban
Проверить статус:
fail2ban-client status
Минимальный результат после настройки:
✅система обновлена;
✅вход под root отключён;
✅авторизация по паролю отключена;
✅используется SSH-ключ;
✅открыты только нужные порты;
✅включена защита от перебора.
➡️Сохраните пост и перешлите тому, кто регулярно поднимает сервера. Одна такая шпаргалка может спасти от неприятного вечера с переустановкой взломанного сервера.
Материал подготовлен совместно с каналом Digital Bunker - авторским блогом про настройку серверов, сети и DIY-эксперименты с железом.
Telegram 😍
Tg чат 🌐
YouTube 🌐
VK 🌐
Rutube 📺
#linux #sysadmin