Zabezpečení VPS: SSH klíče, firewall a fail2ban

Každou veřejnou IP adresu během chvíle začnou zkoušet automatičtí boti. Těchto pět kroků VPS s Debianem nebo Ubuntu dobře ochrání.

1. SSH klíč

Na svém počítači (PowerShell, macOS i Linux) vytvoř klíč:

ssh-keygen -t ed25519

Obsah souboru .ssh/id_ed25519.pub ve tvé domovské složce vlož v panelu do Nastavení → SSH klíče (na nový řádek) a ulož. Na macOS a Linuxu jde i příkaz ssh-copy-id root@IP_ADRESA_VPS.

2. Zákaz přihlášení heslem

Nejdřív v novém okně ověř, že se přihlásíš klíčem – původní okno nech otevřené. Pak vytvoř soubor s nastavením:

printf 'PasswordAuthentication no\nPermitRootLogin prohibit-password\n' > /etc/ssh/sshd_config.d/00-zabezpeceni.conf
sshd -t
systemctl restart ssh
sshd -T | grep -Ei 'passwordauthentication|permitrootlogin'

Úprava samotného /etc/ssh/sshd_config často nestačí: SSH použije první nalezenou hodnotu a soubory ve složce sshd_config.d se čtou dřív. Proto má soubor předponu 00-. Poslední příkaz musí vypsat passwordauthentication no.

Konzole v panelu (Přihlásit jako root) funguje dál i bez hesla přes SSH.

3. Firewall ufw

apt install -y ufw
ufw allow OpenSSH
ufw enable

Další porty otevírej až podle potřeby (web: ufw allow 80,443/tcp). Víc v návodu Firewall UFW. Docker publikuje porty kontejnerů mimo pravidla ufw – viz Instalace Dockeru.

4. fail2ban

Sleduje neúspěšná přihlášení a útočící IP adresy dočasně blokuje:

apt install -y fail2ban python3-systemd

Vytvoř /etc/fail2ban/jail.local:

[sshd]
enabled = true
backend = systemd
maxretry = 5
bantime = 1h

systemctl enable --now fail2ban
systemctl restart fail2ban
fail2ban-client status sshd

5. Automatické bezpečnostní aktualizace

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

V dialogu potvrď Yes. Ruční apt upgrade občas spusť i tak.

Kroky 4 a 5 udělá i aplikace Základní zabezpečení v záložce Aplikace. Ještě nejsi připojený? Začni návodem První připojení přes SSH.