Защита сервера

​

Ключи и файрвол

• Вход по SSH-ключу – настрой ключ и отключи вход по паролю, тогда перебор теряет смысл: SSH-ключи.
• Файрвол – закрой все входящие порты, кроме нужных: Файрвол.

​

Обновления

1. Свежие пакеты – в них закрыты известные уязвимости:
   apt update && apt upgrade
   
2. Автообновления – обновления безопасности будут ставиться сами:
   apt install unattended-upgrades
   dpkg-reconfigure -plow unattended-upgrades
   

​

fail2ban

1. Установка:
   apt install fail2ban
   
2. Настройки – в jail.local, его не перезаписывают обновления:
   nano /etc/fail2ban/jail.local
   
   Впиши:
   [sshd]
   enabled = true
   maxretry = 5
   findtime = 600
   bantime = 3600
   
   • maxretry – сколько неудачных попыток допустимо.
   • findtime – окно в секундах, за которое считаются попытки: 600 = 10 минут.
   • bantime – на сколько секунд банить: 3600 = 1 час.
   • Debian 12 – fail2ban не стартует без /var/log/auth.log: добавь в секцию строку backend = systemd.
3. Запуск и проверка – вторая команда покажет, сколько адресов сейчас в бане:
   systemctl enable --now fail2ban
   fail2ban-client status sshd
   

​

Пользователь с sudo

adduser ИМЯ
usermod -aG sudo ИМЯ

mkdir -p /home/ИМЯ/.ssh
cp /root/.ssh/authorized_keys /home/ИМЯ/.ssh/
chown -R ИМЯ:ИМЯ /home/ИМЯ/.ssh
chmod 700 /home/ИМЯ/.ssh
chmod 600 /home/ИМЯ/.ssh/authorized_keys

​

Порт SSH

1. Файрвол – если ufw включён, сначала открой новый порт, иначе закроешь себе доступ: ufw allow 2222/tcp.
2. SSH – в /etc/ssh/sshd_config укажи, например, Port 2222 и перезапусти: systemctl restart ssh. На Ubuntu 24.04 и новее SSH слушает через ssh.socket, там вместо этого выполни systemctl daemon-reload и systemctl restart ssh.socket.
3. fail2ban – пропиши новый порт, иначе он молча перестанет защищать SSH. В /etc/fail2ban/jail.local в секции [sshd] добавь или замени строку port:
   [sshd]
   enabled = true
   port = 2222
   
   Перезапусти fail2ban:
   systemctl restart fail2ban