Wie härte ich SSH auf einem neuen VPS ab?

Warum SSH vor allem anderen absichern?

SSH ist der einzige Dienst, den jeder VPS ab der ersten Minute offen anbietet, deshalb ist es die erste Tür, die man verriegelt. Passwort-Raten gegen Port 22 beginnt, sobald eine Adresse aktiv ist, und eine reine Schlüssel-Anmeldung entfernt diese ganze Angriffsklasse.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Wenn Sie bei der Bestellung einen Schlüssel eingefügt haben, ist die Passwort-Anmeldung bereits aus, und dieser Leitfaden ergänzt die übrigen Grenzen. Wenn Sie ein temporäres Root-Passwort erhalten haben, ändern Sie es beim ersten Login mit passwd, bevor Sie irgendetwas anderes tun. Laut Gloamports Umfrage unter 10. November 2026 nehmen 6 Hosts Monero und verlangen bei der Registrierung keine E-Mail-Adresse. Auf diesen Servern sind daher der SSH-Schlüssel und die Kontonummer die einzigen Geheimnisse, die die Maschine schützen.

Wie lege ich einen sudo-Benutzer an und gebe ihm meinen Schlüssel?

Legen Sie den Benutzer an, nehmen Sie ihn in die Gruppe sudo auf und kopieren Sie den autorisierten Schlüssel des Root-Kontos zu ihm. Verwenden Sie Ihren Schlüssel aus Wie erzeuge ich einen SSH-Schlüssel für meinen VPS?, falls Sie noch keinen haben. Ersetzen Sie admin durch den gewünschten Benutzernamen.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

Was gehört in die Drop-in-Datei von sshd_config?

Legen Sie die Optionen in eine einzige Drop-in-Datei, damit ein Paket-Upgrade sie nie überschreibt. Das Handbuch von sshd_config sagt, dass bei den meisten Schlüsselwörtern der erste erhaltene Wert gilt und dass die Datei von Debian /etc/ssh/sshd_config.d/*.conf am Anfang einbindet. Das Präfix 00- sorgt also dafür, dass Ihre Datei gewinnt, auch gegenüber Dateien wie der Drop-in-Datei eines Cloud-Images.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

Soll ich den SSH-Port ändern oder eine Firewall einrichten?

Ein anderer Port verringert das Log-Rauschen, bietet aber keine echte Sicherheit. Betrachten Sie ihn daher als optional. Das Handbuch erlaubt, ihn mit Port zu setzen, und mehrere Port-Zeilen sind erlaubt. Wenn Sie den Port ändern, öffnen Sie den neuen Port in Ihrer Firewall, bevor Sie ssh neu starten. Volle KVM-Virtualisierung: Ihr eigener Kernel, Ihre eigenen Firewall-Regeln und Ihre eigene Festplattenverschlüsselung, falls Sie sie einrichten, sodass Sie die Firewall betreiben, die zu Ihnen passt.

Sobald SSH dicht ist, folgen die nächsten Schichten: ein privater Tunnel (Wie richte ich WireGuard auf einem VPS ein?) und ein verschlüsseltes Datenvolumen (Kann ich eine VPS-Festplatte mit LUKS verschlüsseln?). Dusk mit 2 GB RAM kostet $5.25 pro Monat bei 12 Monaten; siehe die Preisseite.