# Bagaimana cara mengamankan SSH di VPS baru?

> Amankan SSH di VPS baru dalam 6 langkah: login hanya dengan kunci, pengguna sudo, login root dimatikan, lalu sshd -t. Dusk, RAM 2 GB, berharga $5.25 per bulan.

- URL: https://gloamport.com/id/guides/how-to-harden-ssh-on-a-vps/
- Terakhir diperbarui: 2026-11-10
- Penerbit: Gloamport (https://gloamport.com)

Enam perubahan pada sshd_config memakan waktu sekitar sepuluh menit. Biarkan sesi pertama Anda terbuka sampai yang terakhir sudah diuji.

**Jawaban singkat — Bagaimana cara mengamankan SSH di VPS baru?**

Untuk mengamankan SSH di VPS baru, buat pengguna sudo, pasang kunci publik Anda, lalu atur PasswordAuthentication no, PermitRootLogin no dan AllowUsers dalam file drop-in di bawah /etc/ssh/sshd_config.d/, periksa dengan sshd -t, dan muat ulang. Gloamport Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, berharga $5.25 per bulan untuk masa 12 bulan.

## Opsi sshd_config mana yang paling penting di VPS baru?

| Opsi | Nilai | Default menurut manual sshd_config |
| --- | --- | --- |
| `PasswordAuthentication` | `no` | `yes` |
| `KbdInteractiveAuthentication` | `no` | `yes` (berkas Debian menetapkan `no`) |
| `PermitRootLogin` | `no` | `prohibit-password` |
| `PubkeyAuthentication` | `yes` | `yes` |
| `AllowUsers` | pengguna sudo Anda | semua pengguna |
| `MaxAuthTries` | `3` | 6 |
| `LoginGraceTime` | `30` | 120 detik |

Default sebagaimana tercantum di sshd_config(5), diperiksa 2026-11-10. Nilai di kolom tengah adalah pilihan panduan ini.

## Mengapa mengamankan SSH sebelum yang lain?

SSH adalah satu-satunya layanan yang dibuka setiap VPS sejak menit pertama, jadi ia adalah pintu pertama yang harus dikunci. Tebakan kata sandi ke port 22 dimulai begitu alamat aktif, dan login hanya dengan kunci menghilangkan seluruh kelas serangan itu.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Jika Anda menempelkan kunci saat checkout, login kata sandi sudah dimatikan, dan panduan ini menambahkan batasan yang tersisa. Jika Anda mendapat kata sandi root sementara, ubahlah saat login pertama dengan `passwd` sebelum melakukan hal lain. Menurut survei Gloamport terhadap 10 November 2026, 6 host menerima Monero dan tidak meminta email saat mendaftar, sehingga di server tersebut kunci SSH dan nomor akun adalah satu-satunya rahasia yang melindungi mesin.

## Bagaimana cara mengamankan SSH di VPS baru, langkah demi langkah?

Kerjakan sesuai urutan ini, dan biarkan sesi pertama tetap terbuka sampai selesai.

1. **Buat pengguna biasa** — Jalankan adduser dan tambahkan pengguna ke grup sudo, agar Anda berhenti bekerja sebagai root.
2. **Pasang kunci publik Anda untuk pengguna itu** — Salin kunci yang diizinkan ke pengguna baru, atau jalankan ssh-copy-id -i dari komputer Anda sendiri. Uji login di terminal kedua.
3. **Tulis file drop-in** — Buat /etc/ssh/sshd_config.d/00-hardening.conf dengan opsi dari tabel. Debian menyertakan folder itu di awal sshd_config, dan nilai pertama untuk suatu opsi yang menang, jadi namanya harus terurut lebih awal.
4. **Uji konfigurasi** — Jalankan sshd -t. Perintah ini memeriksa file konfigurasi dan kuncinya tanpa memulai ulang apa pun. Jalankan sshd -T untuk mencetak nilai yang berlaku.
5. **Muat ulang layanan** — Mulai ulang ssh dan buka sesi baru sebagai pengguna baru sebelum menutup yang lama.
6. **Pastikan login root dan kata sandi ditolak** — Coba login sebagai root dan dengan kata sandi dari terminal lain. Keduanya harus gagal.

## Bagaimana cara membuat pengguna sudo dan memberinya kunci saya?

Buat pengguna, tambahkan ke `sudo`, dan salin kunci yang diizinkan milik akun root ke pengguna tersebut. Gunakan kunci Anda dari [Bagaimana cara membuat kunci SSH untuk VPS saya?](https://gloamport.com/id/guides/how-to-generate-an-ssh-key/ "Bagaimana cara membuat kunci SSH untuk VPS saya?") jika belum punya. Ganti `admin` dengan nama pengguna yang Anda inginkan.

*Buat pengguna dan salin kunci (sebagai root)*

```bash
adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys
```

## Apa yang dimasukkan ke file drop-in sshd_config?

Letakkan opsi dalam satu drop-in agar pembaruan paket tidak pernah menimpanya. Manual sshd_config menyatakan bahwa untuk sebagian besar kata kunci, nilai pertama yang diperoleh yang dipakai, dan bahwa file Debian menyertakan `/etc/ssh/sshd_config.d/*.conf` di awal, sehingga awalan `00-` membuat file Anda menang atas file seperti drop-in milik image cloud.

*/etc/ssh/sshd_config.d/00-hardening.conf*

```text
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30
```

*Uji, lalu terapkan*

```bash
sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh
```

> **Jangan pernah menutup satu-satunya sesi Anda** Jika AllowUsers menyebut pengguna yang tidak memiliki kunci Anda, Anda akan terkunci dari server. Biarkan sesi pertama terbuka, uji login kedua sebagai pengguna baru, dan baru tutup yang pertama. sshd -t hanya memeriksa sintaks, bukan apakah kunci Anda sudah terpasang.

## Haruskah saya mengubah port SSH atau menambahkan firewall?

Port yang berbeda mengurangi kebisingan log tetapi tidak menambah keamanan yang nyata, jadi anggap ini opsional. Manual memungkinkan Anda mengaturnya dengan `Port`, dan beberapa baris `Port` diperbolehkan. Jika Anda mengubahnya, bukalah port baru di firewall sebelum memulai ulang `ssh`. Virtualisasi KVM penuh: kernel Anda sendiri, aturan firewall Anda sendiri, dan enkripsi disk Anda sendiri jika Anda mengaturnya, sehingga Anda menjalankan firewall yang sesuai dengan kebutuhan Anda.

Setelah SSH ketat, lapisan berikutnya adalah terowongan privat ([Bagaimana cara mengatur WireGuard di VPS?](https://gloamport.com/id/guides/how-to-set-up-wireguard-on-a-vps/ "Bagaimana cara mengatur WireGuard di VPS?")) dan volume data terenkripsi ([Bisakah saya mengenkripsi disk VPS dengan LUKS?](https://gloamport.com/id/guides/how-to-encrypt-a-vps-disk-with-luks/ "Bisakah saya mengenkripsi disk VPS dengan LUKS?")). Dusk, dengan RAM 2 GB, berharga $5.25 per bulan untuk masa 12 bulan; lihat [halaman harga](https://gloamport.com/id/pricing/ "Berapa harga VPS Gloamport?").

**Ringkasan**

- Bekerjalah sebagai pengguna sudo, bukan sebagai root.
- Atur `PasswordAuthentication no` dan `KbdInteractiveAuthentication no`.
- Atur `PermitRootLogin no` setelah pengguna sudo berfungsi.
- Gunakan `AllowUsers` untuk menyebutkan siapa yang boleh login.
- Letakkan opsi dalam drop-in yang namanya terurut paling awal, seperti `00-hardening.conf`.
- Jalankan `sshd -t` sebelum setiap mulai ulang dan biarkan sesi kedua tetap terbuka.
- Dusk berharga $5.25 per bulan untuk masa 12 bulan.

## Mengamankan SSH di VPS: pertanyaan umum

### Apa arti PermitRootLogin prohibit-password?

Ini mengizinkan root login dengan kunci tetapi tidak dengan kata sandi. Manual mencantumkannya sebagai default, dan `no` melangkah lebih jauh.

### Mengapa perubahan saya di sshd_config tidak berpengaruh?

Nilai pertama untuk suatu opsi yang menang, dan Debian menyertakan folder sshd_config.d lebih dulu. Drop-in sebelumnya mungkin sudah mengatur opsi itu, jadi beri nama file Anda `00-hardening.conf` dan periksa dengan `sshd -T`.

### Bagaimana cara menguji konfigurasi tanpa merusak SSH?

Jalankan `sshd -t`, yang hanya memeriksa file konfigurasi dan kuncinya. Biarkan sesi kedua terbuka saat Anda memulai ulang.

### Apakah saya perlu mematikan login kata sandi jika sudah menempelkan kunci saat checkout?

Di Gloamport, kunci yang ditempelkan sudah membuat login kata sandi tetap mati. Mengatur opsi dalam drop-in menjaga keadaan itu setelah pembaruan.

### Apa fungsi MaxAuthTries?

Ini membatasi percobaan autentikasi per koneksi. Manual memberi default 6, dan panduan ini mengatur 3.

## Sumber

1. [Halaman manual sshd_config(5)](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html) — Debian (checked 2026-11-10)
2. [Halaman manual sshd(8) (-t dan -T)](https://manpages.debian.org/trixie/openssh-server/sshd.8.en.html) — Debian (checked 2026-11-10)
3. [Halaman manual ssh-copy-id(1)](https://manpages.debian.org/trixie/openssh-client/ssh-copy-id.1.en.html) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport adalah penyedia VPS yang menjual server KVM Linux tanpa KYC, dipesan dengan nomor akun dan dibayar dengan kripto, Monero lebih dulu; dioperasikan oleh DomaineGoat LLC, perusahaan terdaftar di Panama. Pesanan meminta paket, koin, dan hanya jika Anda menginginkannya, alamat email: tanpa nama, tanpa alamat pos, tanpa nomor telepon, dan tanpa dokumen identitas. Untuk masa 12 bulan, setiap paket dihargai setidaknya 25% lebih rendah dari paket pembanding bernama dari survei terhadap 38 penyedia VPS kripto tanpa KYC, dibaca pada 10 November 2026.