Zabezpečenie nového VPS: kontrolný zoznam krok za krokom

Prejdete kontrolný zoznam, ktorý z nového VPS urobí bezpečný server: aktualizácie, silné heslá, vlastný používateľ, SSH kľúč, firewall, fail2ban a automatické bezpečnostné záplaty. Pri každom kroku vysvetlíme, prečo ho robiť a čo presne nastavujete.

Prečo hneď po založení#

Každá verejná IP adresa je vidieť z celého internetu. Automatizované boty prechádzajú adresy a skúšajú sa prihlásiť cez SSH bežnými menami a heslami. Na novom VPS uvidíte prvé pokusy často už počas niekoľkých minút. Skúste si to:

journalctl -u ssh --since "1 hour ago" | grep -E "Failed password|Invalid user"

• journalctl -u ssh – vypíše záznamy služby SSH.
• --since "1 hour ago" – iba za poslednú hodinu.
• grep -E "…" – nechá iba riadky s neúspešným prihlásením alebo neexistujúcim používateľom.

Na sieti blokujeme známe skenery internetu, ale všetky pokusy to nezastaví. Proti zvyšku vás ochráni silné heslo, SSH kľúč a fail2ban.

Kontrolný zoznam#

Zabezpečenie a zákaznícky účet#

Záložky Súbory a Databázy v zákazníckom účte sa k VPS pripájajú cez SSH, a to používateľom a heslom (v predvolenom stave root a heslo z času založenia). Niektoré kroky v tomto návode ich preto ovplyvnia:

Prihlasovacie údaje v záložke Súbory môže meniť iba vlastník služby. Konzola a záložky Sieť, Firewall, Zálohy a Zmena balíka fungujú vždy, nastavenie VPS ich neovplyvní. Rozhodnite sa, čo je pre vás dôležitejšie. Najvyššiu bezpečnosť dáva vypnuté prihlasovanie heslom. Ak záložky Súbory a Databázy používate, nechajte heslo zapnuté, ale silné, a nainštalujte fail2ban.

Aktualizácia systému#

1. Stiahnite zoznam dostupných aktualizácií:

   apt update

   • apt update – načíta z repozitárov zoznam nových verzií balíkov. Sám nič neinštaluje.

2. Nainštalujte všetky aktualizácie:

   apt full-upgrade -y

   • apt full-upgrade – aktualizuje balíky a smie kvôli tomu pridať alebo odobrať závislosti (napríklad nové jadro).
   • -y – automaticky odpovedať „áno“ na potvrdenie.

3. Ak sa počas inštalácie objaví otázka na konfiguračný súbor (napríklad /etc/ssh/sshd_config „has been locally modified“), zvoľte keep the local version currently installed. Ponecháte tým súčasné nastavenie, s ktorým VPS funguje.

4. Zistite, či je potrebný reštart:

   ls /var/run/reboot-required

   Keď príkaz súbor nájde, reštartujte. Na Debiane bez balíka unattended-upgrades sa súbor vytvoriť nemusí, preto tam po aktualizácii jadra (balík začínajúci linux-image) reštartujte vždy.

5. Reštartujte VPS:

   reboot

   SSH spojenie sa ukončí. Po zhruba minúte sa pripojte znova.

Zmena root hesla#

Heslo z času založenia ste videli v zákazníckom účte, prípadne v e-maile. Nastavte si nové, ktoré poznáte iba vy.

1. Vygenerujte silné heslo, napríklad v generátore hesiel (aspoň 20 znakov), a uložte ho do správcu hesiel.

2. Spustite zmenu hesla:

   passwd

   • passwd – bez ďalšieho parametra zmení heslo používateľa, ktorý príkaz spúšťa (teda roota).

3. Na výzvu New password: vložte nové heslo a stlačte Enter. Heslo sa nezobrazuje.

4. Na výzvu Retype new password: ho vložte znova. Uvidíte passwd: password updated successfully.

5. Nezatvárajte súčasné okno. Otvorte nové a vyskúšajte prihlásenie novým heslom.

6. V zákazníckom účte otvorte záložku Súbory, kliknite na Zmeniť prihlasovacie údaje, vyplňte Používateľ root, Port 22 a nové Heslo a kliknite na Overiť a uložiť.

Nový používateľ so sudo#

Pod rootom každý preklep v príkaze zasiahne celý systém. Na bežnú prácu si vytvorte vlastného používateľa, ktorý si práva správcu vyžiada iba príkazom sudo. Ako príklad použijeme meno jan.

1. Vytvorte používateľa:

   adduser jan

   • adduser – vytvorí používateľa, jeho domovský priečinok /home/jan a opýta sa na heslo.

   Zadajte dvakrát heslo (iné než root heslo). Otázky na meno, telefón a ďalšie údaje preskočte klávesom Enter a na konci potvrďte Y.

2. Pridajte používateľa do skupiny sudo:

   usermod -aG sudo jan

   • usermod – mení vlastnosti používateľa.
   • -aG sudo – pridá (-a) používateľa do ďalšej skupiny (-G) sudo. Bez -a by používateľ zo všetkých ostatných skupín vypadol.
   • Členovia skupiny sudo smú spúšťať príkazy ako root.

3. Ak už máte SSH kľúč pri rootovi, skopírujte ho aj novému používateľovi:

   install -d -m 700 -o jan -g jan /home/jan/.ssh
   install -m 600 -o jan -g jan /root/.ssh/authorized_keys /home/jan/.ssh/authorized_keys

   • install -d – vytvorí priečinok .ssh.
   • -m 700 / -m 600 – práva: priečinok iba pre vlastníka, súbor čítanie a zápis iba pre vlastníka. SSH iné práva odmietne.
   • -o jan -g jan – vlastníkom bude používateľ jan.

4. V novom okne sa prihláste ako nový používateľ a vyskúšajte sudo:

   ssh [email protected]
   sudo whoami

   • sudo whoami – spustí príkaz whoami ako root. Po zadaní hesla používateľa jan musí vypísať root.

Ak príkaz adduser alebo sudo chýba (minimálna inštalácia Debianu), doinštalujte ich: apt install adduser sudo.

SSH kľúč a vypnutie prihlasovania heslom#

Toto je najdôležitejší krok. Heslo sa dá uhádnuť, SSH kľúč prakticky nie. Postup pre Windows, macOS aj Linux nájdete v samostatnom návode SSH kľúč: prihlásenie bez hesla, vrátane bezpečného vypnutia prihlasovania heslom.

Zákaz prihlásenia roota#

Keď root nesmie cez SSH, útočník musí poznať aj meno vášho používateľa. Urobte to až vo chvíli, keď sa prihlásite ako nový používateľ a funguje vám sudo.

1. Otvorte (alebo vytvorte) vlastný konfiguračný súbor SSH servera:

   nano /etc/ssh/sshd_config.d/00-zabezpeceni.conf

2. Pridajte riadok:

   PermitRootLogin no

   Nastavenie	Čo robí	Odporúčaná hodnota	Kedy zmeniť
   PermitRootLogin	Či sa root smie prihlásiť cez SSH. no = vôbec, prohibit-password = iba kľúčom, yes = aj heslom.	no	prohibit-password, ak potrebujete root prístup kľúčom (napríklad pre zálohovací skript).

   Súbor má na začiatku názvu 00, aby sa načítal ako prvý. SSH server totiž používa prvú nájdenú hodnotu každého nastavenia.

3. Skontrolujte konfiguráciu a platnú hodnotu:

   sshd -t && sshd -T | grep -i permitrootlogin

   • sshd -t – kontrola syntaxe. Pri chybe vypíše súbor a riadok.
   • && – ďalší príkaz sa spustí iba vtedy, keď predchádzajúci skončil bez chyby.
   • sshd -T – vypíše výslednú platnú konfiguráciu. Musí obsahovať permitrootlogin no.

4. Reštartujte SSH server:

   systemctl restart ssh

   Súčasné spojenie zostane otvorené.

5. V novom okne overte, že sa ssh [email protected] už neprihlási a ssh [email protected] áno.

Ako root potom pracujete cez sudo -i (otvorí rootovský príkazový riadok po zadaní hesla používateľa jan).

Zmena portu SSH#

Presun SSH z portu 22 na iný port nie je skutočné zabezpečenie, útočník nový port nájde. Výrazne však ubudne pokusov botov v logu.

Za:

• Menej automatických pokusov o prihlásenie a čistejšie logy.

Proti:

• Pri každom pripojení musíte zadať port (ssh -p 2222 …).
• Niektoré firemné a verejné siete neštandardné porty blokujú.
• Port musíte upraviť vo firewalle, vo fail2bane aj v zákazníckom účte (Súbory).

Ak sa pre zmenu rozhodnete, zvoľte port nad 1024, ktorý nepoužíva iná aplikácia (vyhnite sa napríklad portu 2022, ktorý používajú niektoré herné panely pre SFTP). V príklade použijeme 2222.

1. Povoľte nový port vo firewalle skôr, než SSH presuniete: v záložke Firewall pridajte pravidlo Prichádzajúce, Povoliť, TCP, port 2222 (nutné v režime Blokovať všetko okrem povoleného, v režime Povoliť všetko neuškodí) a ak používate UFW, spustite ufw allow 2222/tcp.

2. Do súboru /etc/ssh/sshd_config.d/00-zabezpeceni.conf pridajte dva riadky. Starý port zatiaľ ponecháte, aby vás zmena neodrezala:

   Port 22
   Port 2222

   • Port – port, na ktorom SSH server počúva. Riadkov Port môže byť viac, server potom počúva na všetkých.

3. Skontrolujte konfiguráciu: sshd -t.

4. Zistite, ako sa SSH na vašom VPS spúšťa:

   systemctl is-active ssh.socket

   Výsledok active znamená, že SSH spúšťa systemd cez socket (predvolený stav na Ubuntu 24.04). Výsledok inactive znamená bežnú službu (zvyčajne Debian 13).

Podľa výsledku použite nový port:

5. Overte, že SSH počúva na oboch portoch: ss -tlnp | grep -E ':22 |:2222 '.
6. V novom okne sa pripojte cez nový port: ssh -p 2222 [email protected].
7. Keď pripojenie cez nový port funguje, zmažte v konfigurácii riadok Port 22.
8. Skontrolujte konfiguráciu: sshd -t.
9. Zmenu načítajte rovnakým príkazom ako vyššie (podľa toho, či je socket aktívny).
10. V zákazníckom účte otvorte Súbory › Zmeniť prihlasovacie údaje a zadajte port 2222. Záložky Súbory a Databázy sa k VPS pripájajú cez SSH a bez nového portu by prestali fungovať.
11. Upravte port v jaile sshd vo fail2bane (pozri Fail2ban).
12. Vo firewalle zmažte pravidlo pre port 22.

Firewall a fail2ban#

• Firewall v zákazníckom účte filtruje prevádzku ešte pred VPS a nastavíte ho klikaním: Firewall v zákazníckom účte.
• UFW je firewall priamo vo VPS: Firewall UFW.
• Fail2ban stráži neúspešné prihlásenia a útočníkov blokuje: Fail2ban.

Stačí jeden z firewallov. Pre začiatočníkov odporúčame firewall v zákazníckom účte, pretože ho opravíte aj vtedy, keď sa odrežete.

Automatické bezpečnostné aktualizácie#

Balík unattended-upgrades raz denne nainštaluje bezpečnostné aktualizácie. Na Ubuntu je nainštalovaný a zapnutý, na Debiane ho zapnete.

V predvolenom stave sa na Ubuntu inštalujú iba bezpečnostné aktualizácie, na Debiane bezpečnostné aktualizácie a opravy z bodových vydaní stabilnej verzie (napríklad 13.1, 13.2). VPS sa sám nereštartuje. Správanie upravíte vo vlastnom súbore, ktorý prebije predvolený 50unattended-upgrades (ten neupravujte, aktualizácia balíka by ho mohla prepísať):

nano /etc/apt/apt.conf.d/52unattended-upgrades-local

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

Nastavenie vyskúšajte nanečisto:

unattended-upgrade --dry-run --debug

• --dry-run – iba simulácia, nič sa nenainštaluje.
• --debug – podrobný výpis, vrátane načítaných nastavení a balíkov, ktoré by sa aktualizovali.

Záznamy o skutočných aktualizáciách nájdete v priečinku /var/log/unattended-upgrades/.

Časové pásmo a názov servera#

1. Nastavte stredoeurópske časové pásmo, aby časy v logoch zodpovedali:

   timedatectl set-timezone Europe/Prague

   • timedatectl – nastavuje čas a časové pásmo systému.
   • set-timezone Europe/Prague – stredoeurópsky čas vrátane letného (rovnako funguje Europe/Bratislava).

2. Overte výsledok príkazom timedatectl. Riadok Time zone musí ukazovať Europe/Prague a System clock synchronized: yes.

3. Voliteľne zmeňte názov servera (hostname):

   hostnamectl set-hostname vps1

   • hostnamectl set-hostname vps1 – nastaví názov VPS na vps1. Používajte malé písmená, číslice a pomlčky.

   Nový názov sa ukáže v príkazovom riadku po ďalšom prihlásení. Ak sudo začne vypisovať unable to resolve host vps1, doplňte názov do /etc/hosts na riadok 127.0.1.1. Keď súbor v hlavičke uvádza, že sa generuje automaticky, riaďte sa pokynmi z hlavičky.

Čo ďalej#

• Zálohy: celý VPS zálohujeme my a obnovíte ho v záložke Zálohy. Dôležité dáta si zálohujte aj mimo VPS, pozri Zálohy VPS.
• Prehľad: raz za čas skontrolujte miesto na disku (df -h), bežiace služby (systemctl --failed) a záznamy fail2banu.
• Iba potrebné služby: čo nepotrebujete, neinštalujte. Každý otvorený port je ďalší možný vstup.

Overenie#

• apt update po aktualizácii vypíše All packages are up to date.
• Nové root heslo funguje a záložka Súbory sa prihlási.
• Používateľ jan sa prihlási cez SSH a sudo whoami vypíše root.
• sshd -T | grep -E "^(permitrootlogin|passwordauthentication|port) " ukazuje hodnoty, ktoré ste nastavili.
• unattended-upgrade --dry-run --debug prebehne bez chyby.

Keď niečo nefunguje#

Odrezali ste sa od SSH#

Použite konzolu v prehliadači. Prihlásite sa root heslom (aj keď máte root cez SSH zakázaný) a chybu opravíte, napríklad zmažete súbor /etc/ssh/sshd_config.d/00-zabezpeceni.conf a reštartujete SSH príkazom systemctl restart ssh.

sudo: jan is not in the sudoers file#

Používateľ nie je v skupine sudo. Ako root spustite usermod -aG sudo jan a používateľ sa musí odhlásiť a znova prihlásiť, aby sa skupina prejavila.

Záložka Súbory hlási, že sa prihlásenie k VPS nepodarilo#

Zákaznícky účet používa staré údaje. Otvorte Súbory › Zmeniť prihlasovacie údaje a zadajte aktuálneho používateľa, port a heslo. Ak máte vypnuté prihlasovanie heslom alebo SSH povolené iba z vašej IP adresy, záložka fungovať nebude (pozri tabuľku v sekcii Zabezpečenie a zákaznícky účet).

sshd -T ukazuje inú hodnotu, než ste nastavili#

Rovnaké nastavenie je v inom súbore, ktorý sa načítava skôr (SSH server berie prvú nájdenú hodnotu). Nájdite ho:

grep -rni "permitrootlogin" /etc/ssh/sshd_config /etc/ssh/sshd_config.d/

• grep -rni – hľadá text vo všetkých súboroch priečinka (-r), bez ohľadu na veľkosť písmen (-i) a vypíše číslo riadka (-n).

Riadok v cudzom súbore zakomentujte (napíšte na jeho začiatok #), alebo hodnotu zmeňte priamo tam. Potom znova spustite sshd -t && sshd -T | grep -i permitrootlogin a SSH reštartujte.

SSH po zmene portu ďalej počúva iba na porte 22#

Na Ubuntu 24.04 ste najskôr vynechali systemctl daemon-reload. Spustite ho a potom systemctl restart ssh.socket.

E: Could not get lock /var/lib/dpkg/lock-frontend#

Na pozadí práve beží iná inštalácia, typicky automatické aktualizácie (pri novom VPS po prvom štarte). Počkajte pár minút a príkaz zopakujte. Proces násilne neukončujte.

Ďalšie zdroje#

• Ubuntu: OpenSSH server (otvorí sa v novom okne)
• Ubuntu: automatické aktualizácie (otvorí sa v novom okne)
• Debian Wiki: UnattendedUpgrades (otvorí sa v novom okne)
• Manuálová stránka sshd_config (otvorí sa v novom okne)