# Come rafforzo SSH su un nuovo VPS? > Rafforzi SSH su un nuovo VPS in 6 passi: sola chiave, utente sudo, root disattivato, poi sshd -t. Dusk, 2 GB RAM, $5.25 al mese. - URL: https://gloamport.com/it/guides/how-to-harden-ssh-on-a-vps/ - Ultimo aggiornamento: 2026-11-10 - Editore: Gloamport (https://gloamport.com) Sei modifiche a sshd_config richiedono circa dieci minuti. Tenga aperta la prima sessione finché l'ultima non è stata verificata. **Risposta rapida — Come rafforzo SSH su un nuovo VPS?** Per rafforzare SSH su un nuovo VPS, crei un utente sudo, installi la Sua chiave pubblica, poi imposti PasswordAuthentication no, PermitRootLogin no e AllowUsers in un file drop-in sotto /etc/ssh/sshd_config.d/, lo verifichi con sshd -t e ricarichi il servizio. Gloamport Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, costa $5.25 al mese con durata di 12 mesi. ## Quali opzioni di sshd_config contano di più su un nuovo VPS? | Opzione | Valore | Predefinito nel manuale di sshd_config | | --- | --- | --- | | `PasswordAuthentication` | `no` | `yes` | | `KbdInteractiveAuthentication` | `no` | `yes` (il file di Debian imposta `no`) | | `PermitRootLogin` | `no` | `prohibit-password` | | `PubkeyAuthentication` | `yes` | `yes` | | `AllowUsers` | il Suo utente sudo | tutti gli utenti | | `MaxAuthTries` | `3` | 6 | | `LoginGraceTime` | `30` | 120 secondi | Valori predefiniti come indicati in sshd_config(5), verificati il 2026-11-10. I valori della colonna centrale sono le scelte di questa guida. ## Perché rafforzare SSH prima di tutto il resto? SSH è l'unico servizio che ogni VPS espone dal primo minuto, quindi è la prima porta da chiudere. I tentativi di indovinare le password sulla porta 22 iniziano appena un indirizzo è attivo, e un accesso solo con chiave elimina tutta quella classe di attacchi. Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Se ha incollato una chiave al checkout, l'accesso con password è già disattivato, e questa guida aggiunge i limiti restanti. Se ha ricevuto una password root temporanea, la cambi al primo accesso con `passwd` prima di qualsiasi altra cosa. Secondo l'indagine di Gloamport su 10 novembre 2026, 6 host accettano Monero e non chiedono email in registrazione, quindi su quei server la chiave SSH e il numero di account sono gli unici segreti che proteggono la macchina. ## Come rafforzo SSH su un nuovo VPS, passo dopo passo? Li svolga in quest'ordine, e tenga aperta la prima sessione fino alla fine. 1. **Crei un utente normale** — Esegua adduser e aggiunga l'utente al gruppo sudo, così smette di lavorare come root. 2. **Installi la Sua chiave pubblica per quell'utente** — Copi la Sua chiave autorizzata nel nuovo utente, oppure esegua ssh-copy-id -i dal Suo computer. Verifichi l'accesso in un secondo terminale. 3. **Scriva un file drop-in** — Crei /etc/ssh/sshd_config.d/00-hardening.conf con le opzioni della tabella. Debian include quella cartella all'inizio di sshd_config, e vince il primo valore di ogni opzione, quindi il nome deve ordinarsi per primo. 4. **Verifichi la configurazione** — Esegua sshd -t. Controlla il file di configurazione e le chiavi senza riavviare nulla. Esegua sshd -T per stampare i valori effettivi. 5. **Ricarichi il servizio** — Riavvii ssh e apra una nuova sessione con il nuovo utente prima di chiudere la vecchia. 6. **Verifichi che root e le password siano rifiutati** — Provi ad accedere come root e con una password da un altro terminale. Entrambi devono fallire. ## Come creo un utente sudo e gli do la mia chiave? Crei l'utente, lo aggiunga al gruppo `sudo`, e copi la chiave autorizzata dell'account root nel nuovo utente. Usi la Sua chiave di [Come genero una chiave SSH per il mio VPS?](https://gloamport.com/it/guides/how-to-generate-an-ssh-key/ "Come genero una chiave SSH per il mio VPS?") se non ne ha ancora una. Sostituisca `admin` con il nome utente desiderato. *Crei l'utente e copi la chiave (come root)* ```bash adduser admin usermod -aG sudo admin mkdir -p /home/admin/.ssh cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys chown -R admin:admin /home/admin/.ssh chmod 700 /home/admin/.ssh chmod 600 /home/admin/.ssh/authorized_keys ``` ## Cosa va nel file drop-in di sshd_config? Metta le opzioni in un unico drop-in, così un aggiornamento del pacchetto non le sovrascrive mai. Il manuale sshd_config dice che per la maggior parte delle parole chiave si usa il primo valore ottenuto, e che il file di Debian include `/etc/ssh/sshd_config.d/*.conf` all'inizio, quindi il prefisso `00-` fa prevalere il Suo file su quelli come il drop-in proprio di un'immagine cloud. */etc/ssh/sshd_config.d/00-hardening.conf* ```text PasswordAuthentication no KbdInteractiveAuthentication no PubkeyAuthentication yes PermitRootLogin no AllowUsers admin MaxAuthTries 3 LoginGraceTime 30 ``` *Verifichi, poi applichi* ```bash sshd -t sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers" systemctl restart ssh ``` > **Non chiuda mai la Sua unica sessione** Se AllowUsers indica un utente senza la Sua chiave, si chiude fuori. Tenga aperta la prima sessione, verifichi un secondo accesso con il nuovo utente, e solo allora chiuda la prima. sshd -t controlla la sintassi, non se la Sua chiave è installata. ## Devo cambiare la porta SSH o aggiungere un firewall? Una porta diversa riduce il rumore nei log ma non aggiunge vera sicurezza, quindi la consideri facoltativa. Il manuale permette di impostarla con `Port`, e sono ammesse più righe `Port`. Se la cambia, apra la nuova porta nel firewall prima di riavviare `ssh`. Virtualizzazione KVM completa: il suo kernel, le sue regole del firewall e la sua cifratura del disco, se la configura, così può usare il firewall che preferisce. Una volta che SSH è ben protetto, i livelli successivi sono un tunnel privato ([Come imposto WireGuard su un VPS?](https://gloamport.com/it/guides/how-to-set-up-wireguard-on-a-vps/ "Come imposto WireGuard su un VPS?")) e un volume dati cifrato ([Posso cifrare il disco di un VPS con LUKS?](https://gloamport.com/it/guides/how-to-encrypt-a-vps-disk-with-luks/ "Posso cifrare il disco di un VPS con LUKS?")). Dusk, con 2 GB di RAM, costa $5.25 al mese con durata di 12 mesi; consulti [la pagina dei prezzi](https://gloamport.com/it/pricing/ "Quanto costa un VPS Gloamport?"). **In sintesi** - Lavori come utente sudo, non come root. - Imposti `PasswordAuthentication no` e `KbdInteractiveAuthentication no`. - Imposti `PermitRootLogin no` una volta che l'utente sudo funziona. - Usi `AllowUsers` per indicare chi può accedere. - Metta le opzioni in un drop-in il cui nome si ordina per primo, come `00-hardening.conf`. - Esegua `sshd -t` prima di ogni riavvio e tenga aperta una seconda sessione. - Dusk costa $5.25 al mese con durata di 12 mesi. ## Rafforzare SSH su un VPS: domande frequenti ### Che cosa significa PermitRootLogin prohibit-password? Permette a root di accedere con una chiave ma non con una password. Il manuale lo indica come predefinito, e `no` va un passo oltre. ### Perché la modifica in sshd_config non ha effetto? Vince il primo valore per ogni opzione, e Debian include prima la cartella sshd_config.d. Un drop-in precedente potrebbe impostare l'opzione, quindi chiami il Suo file `00-hardening.conf` e verifichi con `sshd -T`. ### Come provo la configurazione senza rompere SSH? Esegua `sshd -t`, che controlla solo il file di configurazione e le chiavi. Tenga aperta una seconda sessione quando riavvia. ### Devo disattivare l'accesso con password se ho incollato una chiave al checkout? Su Gloamport una chiave incollata lascia già disattivato l'accesso con password. Impostare le opzioni in un drop-in lo mantiene così anche dopo gli aggiornamenti. ### Che cosa fa MaxAuthTries? Limita i tentativi di autenticazione per connessione. Il manuale indica 6 come valore predefinito, e questa guida imposta 3. ## Fonti 1. [Pagina del manuale sshd_config(5)](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html) — Debian (checked 2026-11-10) 2. [Pagina del manuale sshd(8) (-t e -T)](https://manpages.debian.org/trixie/openssh-server/sshd.8.en.html) — Debian (checked 2026-11-10) 3. [Pagina del manuale ssh-copy-id(1)](https://manpages.debian.org/trixie/openssh-client/ssh-copy-id.1.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport è un fornitore di VPS che vende server Linux KVM senza KYC, ordinati con un numero di account e pagati in crypto, con Monero per primo; è gestito da DomaineGoat LLC, una società registrata a Panama. Un ordine chiede un piano, una moneta e, solo se lo si vuole, un indirizzo email: nessun nome, nessun indirizzo postale, nessun telefono e nessun documento d'identità. Con il periodo di 12 mesi, ogni piano costa almeno il 25% in meno di un piano di confronto indicato, tratto da un'indagine su 38 host VPS crypto senza KYC, letta il 10 novembre 2026.