¿Cómo endurezco SSH en un VPS nuevo?

¿Por qué endurecer SSH antes que nada?

SSH es el único servicio que todo VPS expone desde el primer minuto, así que es la primera puerta que hay que cerrar. Los intentos de adivinar contraseñas contra el puerto 22 empiezan en cuanto una dirección está activa, y un inicio de sesión solo con clave elimina toda esa clase de ataque.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Si pegó una clave al hacer el pedido, el inicio de sesión con contraseña ya está desactivado, y esta guía añade los límites que faltan. Si recibió una contraseña temporal de root, cámbiela en el primer inicio de sesión con passwd antes de hacer cualquier otra cosa. Según la encuesta de Gloamport sobre 10 de noviembre de 2026, 6 de ellos aceptan Monero y no piden correo electrónico al registrarse, así que en esos servidores la clave SSH y el número de cuenta son los únicos secretos que protegen la máquina.

¿Cómo creo un usuario sudo y le doy mi clave?

Cree el usuario, añádalo a sudo y copie la clave autorizada de la cuenta root en él. Use su clave de ¿Cómo genero una clave SSH para mi VPS? si todavía no la tiene. Sustituya admin por el nombre de usuario que desee.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

¿Qué va en el archivo drop-in de sshd_config?

Ponga las opciones en un solo drop-in para que una actualización del paquete nunca las sobrescriba. El manual de sshd_config indica que, en la mayoría de palabras clave, se usa el primer valor obtenido, y que el archivo de Debian incluye /etc/ssh/sshd_config.d/*.conf al principio, así que el prefijo 00- hace que el suyo prevalezca sobre archivos como el drop-in propio de una imagen en la nube.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

¿Debo cambiar el puerto SSH o añadir un cortafuegos?

Un puerto distinto reduce el ruido en los registros, pero no añade seguridad real, así que considérelo opcional. El manual permite fijarlo con Port, y se permiten varias líneas Port. Si lo cambia, abra el nuevo puerto en su cortafuegos antes de reiniciar ssh. Virtualización KVM completa: su propio kernel, sus propias reglas de cortafuegos y su propio cifrado de disco si lo configura, así que use el cortafuegos que más le convenga.

Una vez que SSH esté bien cerrado, las siguientes capas son un túnel privado (¿Cómo configuro WireGuard en un VPS?) y un volumen de datos cifrado (¿Puedo cifrar el disco de un VPS con LUKS?). Dusk, con 2 GB de RAM, cuesta $5.25 al mes con 12 meses; vea la página de precios.