Je VPS beveiligen: de eerste vijf minuten

Een nieuwe server op internet wordt binnen minuten gescand door bots die wachtwoorden proberen. Met deze stappen ben je die ruim voor. Voer ze uit als root.

1. Alles bijwerken en automatisch bijwerken aanzetten

• Ubuntu en Debian: apt update && apt upgrade -y, daarna apt install -y unattended-upgrades en dpkg-reconfigure -plow unattended-upgrades.
• AlmaLinux en Rocky Linux: dnf upgrade -y, daarna dnf install -y dnf-automatic en systemctl enable --now dnf-automatic-install.timer.

2. Inloggen met een sleutel, wachtwoorden uit

Zet eerst je SSH-sleutel op de server (zie Inloggen op je VPS met SSH) en test of inloggen met de sleutel werkt. Zet daarna in /etc/ssh/sshd_config:

PasswordAuthentication no

en herstart SSH met systemctl restart ssh (AlmaLinux en Rocky: systemctl restart sshd). Houd je huidige sessie open tot je in een tweede venster hebt gecontroleerd dat je nog binnenkomt.

3. Een firewall

• Ubuntu en Debian: apt install -y ufw, dan ufw allow OpenSSH, eventueel ufw allow 80,443/tcp voor een website, en ufw enable.
• AlmaLinux en Rocky Linux: firewalld staat er al. Bijvoorbeeld firewall-cmd --permanent --add-service=http --add-service=https en firewall-cmd --reload.

Laat altijd SSH (poort 22) open, anders sluit je jezelf buiten.

4. Fail2ban tegen raadpogingen

apt install -y fail2ban of dnf install -y epel-release && dnf install -y fail2ban, dan systemctl enable --now fail2ban. Standaard blokkeert hij IP-adressen die te vaak een fout wachtwoord proberen.

5. Een snapshot als vangnet

Maak een snapshot in je VPS-scherm voordat je grote wijzigingen doet. Gaat er iets mis, dan zet je hem in één klik terug. Zie Snapshots en backups van je VPS.

Laat de qemu-guest-agent staan

Het programma qemu-guest-agent is standaard geïnstalleerd. Daarmee kun je in het VPS-scherm een nieuw root-wachtwoord zetten en zie je het schijfgebruik. Verwijder hem niet.