ガイド · 2026-11-10に確認

新しいVPSでSSHを強化するには？

sshd_configへの6つの変更は約10分で終わります。最後の変更をテストするまで、最初のセッションは開いたままにしてください。

最終更新: 2026年11月10日

概要

新しいVPSでSSHを強化するには？

新しいVPSでSSHを強化するには、sudoユーザーを作成し、公開鍵を設定してから、/etc/ssh/sshd_config.d/ 以下のドロップインファイルで PasswordAuthentication no、PermitRootLogin no、AllowUsers を設定します。sshd -t で確認してから再読み込みしてください。Gloamport Dusk（1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic）は12か月契約で月額$5.25です。

新しいVPSで最も重要なsshd_configオプションは？

オプション	値	sshd_configマニュアルの既定値
`PasswordAuthentication`	`no`	`yes`
`KbdInteractiveAuthentication`	`no`	`yes`（Debianのファイルでは`no`に設定）
`PermitRootLogin`	`no`	`prohibit-password`
`PubkeyAuthentication`	`yes`	`yes`
`AllowUsers`	sudoユーザー	すべてのユーザー
`MaxAuthTries`	`3`	6
`LoginGraceTime`	`30`	120秒

sshd_config(5)に記載された既定値（2026-11-10確認）。中央の列はこのガイドで選んだ値です。

SSHを最初に強化するのはなぜですか？

SSHは、起動直後からすべてのVPSが公開している唯一のサービスなので、最初に施錠すべき扉です。ポート22へのパスワード推測攻撃は、アドレスが公開された直後から始まります。鍵のみのログインなら、その種類の攻撃を丸ごと防げます。

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login。チェックアウトで鍵を貼り付けた場合、パスワードログインは既に無効になっており、このガイドでは残りの制限を加えます。一時的なrootパスワードを受け取った場合は、他の作業より先にpasswdで初回ログイン時に変更してください。Gloamportが2026年11月10日について行った調査によると、6件のホストがMoneroを受け付け、登録時にメールアドレスを求めません。そのため、そうしたサーバーではSSH鍵とアカウント番号だけがマシンを守る秘密情報です。

新しいVPSでSSHを手順ごとに強化するには？

この順番で行い、最後まで最初のセッションを開いたままにしてください。

通常のユーザーを作成
adduserを実行し、ユーザーをsudoグループに追加します。これでrootとして作業しなくなります。
そのユーザーに公開鍵を設定
認可済みの鍵を新しいユーザーにコピーするか、ご自身のコンピュータからssh-copy-id -iを実行します。2つ目のターミナルでログインをテストしてください。
ドロップインファイルを作成
表のオプションを含む/etc/ssh/sshd_config.d/00-hardening.confを作成します。Debianではこのフォルダがsshd_configの先頭で読み込まれ、オプションは最初に得られた値が有効になるため、ファイル名は先頭に並ぶものにしてください。
設定をテスト
sshd -tを実行します。何も再起動せずに、設定ファイルと鍵を確認できます。有効な値を表示するにはsshd -Tを実行してください。
サービスを再読み込み
sshを再起動し、古いセッションを閉じる前に、新しいユーザーで新しいセッションを開いてください。
rootとパスワードが拒否されることを確認
別のターミナルからrootとして、またパスワードでログインを試してください。どちらも失敗しなければなりません。

sudoユーザーを作成して鍵を渡すには？

ユーザーを作成し、sudoグループに追加して、rootアカウントの認可済み鍵を新しいユーザーにコピーします。まだ鍵がない場合は、VPS用のSSH鍵を生成するには？で作成してください。adminは希望するユーザー名に置き換えてください。

ユーザーを作成し、鍵をコピーする（root権限で）

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

sshd_configのドロップインファイルには何を書きますか？

オプションは1つのドロップインにまとめ、パッケージの更新で上書きされないようにします。sshd_configマニュアルによると、ほとんどのキーワードでは最初に得られた値が使われ、Debianのファイルは先頭で/etc/ssh/sshd_config.d/*.confを読み込みます。そのため接頭辞00-により、クラウドイメージ付属のドロップインなどより自分の設定が優先されます。

/etc/ssh/sshd_config.d/00-hardening.conf

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

テストしてから適用

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

SSHのポートを変えるべきですか、それともファイアウォールを追加すべきですか？

別のポートにするとログのノイズは減りますが、実際のセキュリティは追加されないため、任意として扱ってください。マニュアルではPortで設定でき、Port行は複数指定できます。変更する場合は、sshを再起動する前に新しいポートをファイアウォールで開けてください。完全なKVM仮想化です。カーネル、ファイアウォールのルール、設定した場合のディスク暗号化はすべてご自身で管理できます。ご自身に合ったファイアウォールを使ってください。

SSHを強化したら、次の層は非公開トンネル（WireGuardをVPSで設定するには？）と暗号化データボリューム（VPSのディスクをLUKSで暗号化できますか？）です。2 GBのRAMを持つDuskは、12か月契約で月額$5.25です。詳しくは料金ページをご覧ください。

まとめ

rootではなくsudoユーザーとして作業してください。
PasswordAuthentication noとKbdInteractiveAuthentication noを設定します。
sudoユーザーが動作したら、PermitRootLogin noを設定します。
AllowUsersを使って、ログインできるユーザーを指定します。
00-hardening.confなどの、先頭に並ぶ名前のドロップインにオプションを書きます。
再起動の前には毎回sshd -tを実行し、2つ目のセッションを開いておいてください。
Duskは12か月契約で月額$5.25です。

VPSでのSSH強化：よくある質問

PermitRootLogin prohibit-password は何を意味しますか？

rootが鍵でログインできるが、パスワードではログインできないことを意味します。マニュアルでは既定値として挙げられており、noはさらに一歩進んだ設定です。

sshd_configを変更しても効果がないのはなぜですか？

オプションは最初に得られた値が有効になり、Debianでは sshd_config.d フォルダが先に読み込まれます。以前のドロップインがそのオプションを設定している場合があるため、ファイル名を00-hardening.confにし、sshd -Tで確認してください。

SSHを壊さずに設定をテストするには？

sshd -tを実行すると、設定ファイルと鍵だけを確認します。再起動するときは、2つ目のセッションを開いておいてください。

チェックアウトで鍵を貼り付けた場合、パスワードログインを無効にする必要がありますか？

Gloamportでは、貼り付けた鍵によってパスワードログインは既に無効になっています。ドロップインでオプションを設定しておけば、アップグレード後もその状態が保たれます。

MaxAuthTriesは何をしますか？

1接続あたりの認証試行回数を制限します。マニュアルの既定値は6で、このガイドでは3に設定します。

出典 (3)

sshd_config(5)マニュアルページ — Debian (checked 2026-11-10)
sshd(8)マニュアルページ（-t と -T） — Debian (checked 2026-11-10)
ssh-copy-id(1)マニュアルページ — Debian (checked 2026-11-10)