Come rafforzo SSH su un nuovo VPS?

Perché rafforzare SSH prima di tutto il resto?

SSH è l'unico servizio che ogni VPS espone dal primo minuto, quindi è la prima porta da chiudere. I tentativi di indovinare le password sulla porta 22 iniziano appena un indirizzo è attivo, e un accesso solo con chiave elimina tutta quella classe di attacchi.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Se ha incollato una chiave al checkout, l'accesso con password è già disattivato, e questa guida aggiunge i limiti restanti. Se ha ricevuto una password root temporanea, la cambi al primo accesso con passwd prima di qualsiasi altra cosa. Secondo l'indagine di Gloamport su 10 novembre 2026, 6 host accettano Monero e non chiedono email in registrazione, quindi su quei server la chiave SSH e il numero di account sono gli unici segreti che proteggono la macchina.

Come creo un utente sudo e gli do la mia chiave?

Crei l'utente, lo aggiunga al gruppo sudo, e copi la chiave autorizzata dell'account root nel nuovo utente. Usi la Sua chiave di Come genero una chiave SSH per il mio VPS? se non ne ha ancora una. Sostituisca admin con il nome utente desiderato.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

Cosa va nel file drop-in di sshd_config?

Metta le opzioni in un unico drop-in, così un aggiornamento del pacchetto non le sovrascrive mai. Il manuale sshd_config dice che per la maggior parte delle parole chiave si usa il primo valore ottenuto, e che il file di Debian include /etc/ssh/sshd_config.d/*.conf all'inizio, quindi il prefisso 00- fa prevalere il Suo file su quelli come il drop-in proprio di un'immagine cloud.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

Devo cambiare la porta SSH o aggiungere un firewall?

Una porta diversa riduce il rumore nei log ma non aggiunge vera sicurezza, quindi la consideri facoltativa. Il manuale permette di impostarla con Port, e sono ammesse più righe Port. Se la cambia, apra la nuova porta nel firewall prima di riavviare ssh. Virtualizzazione KVM completa: il suo kernel, le sue regole del firewall e la sua cifratura del disco, se la configura, così può usare il firewall che preferisce.

Una volta che SSH è ben protetto, i livelli successivi sono un tunnel privato (Come imposto WireGuard su un VPS?) e un volume dati cifrato (Posso cifrare il disco di un VPS con LUKS?). Dusk, con 2 GB di RAM, costa $5.25 al mese con durata di 12 mesi; consulti la pagina dei prezzi.