# 新しいVPSでSSHを強化するには？

> 新しいVPSのSSHを6つの手順で強化します：鍵のみのログイン、sudoユーザー、root login無効、そしてsshd -t。Dusk（2 GB RAM）は月額$5.25です。

- URL: https://gloamport.com/ja/guides/how-to-harden-ssh-on-a-vps/
- 最終更新: 2026-11-10
- 発行者: Gloamport (https://gloamport.com)

sshd_configへの6つの変更は約10分で終わります。最後の変更をテストするまで、最初のセッションは開いたままにしてください。

**概要 — 新しいVPSでSSHを強化するには？**

新しいVPSでSSHを強化するには、sudoユーザーを作成し、公開鍵を設定してから、/etc/ssh/sshd_config.d/ 以下のドロップインファイルで PasswordAuthentication no、PermitRootLogin no、AllowUsers を設定します。sshd -t で確認してから再読み込みしてください。Gloamport Dusk（1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic）は12か月契約で月額$5.25です。

## 新しいVPSで最も重要なsshd_configオプションは？

| オプション | 値 | sshd_configマニュアルの既定値 |
| --- | --- | --- |
| `PasswordAuthentication` | `no` | `yes` |
| `KbdInteractiveAuthentication` | `no` | `yes`（Debianのファイルでは`no`に設定） |
| `PermitRootLogin` | `no` | `prohibit-password` |
| `PubkeyAuthentication` | `yes` | `yes` |
| `AllowUsers` | sudoユーザー | すべてのユーザー |
| `MaxAuthTries` | `3` | 6 |
| `LoginGraceTime` | `30` | 120秒 |

sshd_config(5)に記載された既定値（2026-11-10確認）。中央の列はこのガイドで選んだ値です。

## SSHを最初に強化するのはなぜですか？

SSHは、起動直後からすべてのVPSが公開している唯一のサービスなので、最初に施錠すべき扉です。ポート22へのパスワード推測攻撃は、アドレスが公開された直後から始まります。鍵のみのログインなら、その種類の攻撃を丸ごと防げます。

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login。チェックアウトで鍵を貼り付けた場合、パスワードログインは既に無効になっており、このガイドでは残りの制限を加えます。一時的なrootパスワードを受け取った場合は、他の作業より先に`passwd`で初回ログイン時に変更してください。Gloamportが2026年11月10日について行った調査によると、6件のホストがMoneroを受け付け、登録時にメールアドレスを求めません。そのため、そうしたサーバーではSSH鍵とアカウント番号だけがマシンを守る秘密情報です。

## 新しいVPSでSSHを手順ごとに強化するには？

この順番で行い、最後まで最初のセッションを開いたままにしてください。

1. **通常のユーザーを作成** — adduserを実行し、ユーザーをsudoグループに追加します。これでrootとして作業しなくなります。
2. **そのユーザーに公開鍵を設定** — 認可済みの鍵を新しいユーザーにコピーするか、ご自身のコンピュータからssh-copy-id -iを実行します。2つ目のターミナルでログインをテストしてください。
3. **ドロップインファイルを作成** — 表のオプションを含む/etc/ssh/sshd_config.d/00-hardening.confを作成します。Debianではこのフォルダがsshd_configの先頭で読み込まれ、オプションは最初に得られた値が有効になるため、ファイル名は先頭に並ぶものにしてください。
4. **設定をテスト** — sshd -tを実行します。何も再起動せずに、設定ファイルと鍵を確認できます。有効な値を表示するにはsshd -Tを実行してください。
5. **サービスを再読み込み** — sshを再起動し、古いセッションを閉じる前に、新しいユーザーで新しいセッションを開いてください。
6. **rootとパスワードが拒否されることを確認** — 別のターミナルからrootとして、またパスワードでログインを試してください。どちらも失敗しなければなりません。

## sudoユーザーを作成して鍵を渡すには？

ユーザーを作成し、`sudo`グループに追加して、rootアカウントの認可済み鍵を新しいユーザーにコピーします。まだ鍵がない場合は、[VPS用のSSH鍵を生成するには？](https://gloamport.com/ja/guides/how-to-generate-an-ssh-key/ "VPS用のSSH鍵はどう生成しますか？")で作成してください。`admin`は希望するユーザー名に置き換えてください。

*ユーザーを作成し、鍵をコピーする（root権限で）*

```bash
adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys
```

## sshd_configのドロップインファイルには何を書きますか？

オプションは1つのドロップインにまとめ、パッケージの更新で上書きされないようにします。sshd_configマニュアルによると、ほとんどのキーワードでは最初に得られた値が使われ、Debianのファイルは先頭で`/etc/ssh/sshd_config.d/*.conf`を読み込みます。そのため接頭辞`00-`により、クラウドイメージ付属のドロップインなどより自分の設定が優先されます。

*/etc/ssh/sshd_config.d/00-hardening.conf*

```text
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30
```

*テストしてから適用*

```bash
sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh
```

> **唯一のセッションを閉じないでください** AllowUsersが鍵を持たないユーザーを指定すると、ログインできなくなります。最初のセッションを開いたままにして、新しいユーザーで2つ目のログインをテストし、その後で最初のセッションを閉じてください。sshd -tは構文を確認するだけで、鍵が設定されているかは確認しません。

## SSHのポートを変えるべきですか、それともファイアウォールを追加すべきですか？

別のポートにするとログのノイズは減りますが、実際のセキュリティは追加されないため、任意として扱ってください。マニュアルでは`Port`で設定でき、`Port`行は複数指定できます。変更する場合は、`ssh`を再起動する前に新しいポートをファイアウォールで開けてください。完全なKVM仮想化です。カーネル、ファイアウォールのルール、設定した場合のディスク暗号化はすべてご自身で管理できます。ご自身に合ったファイアウォールを使ってください。

SSHを強化したら、次の層は非公開トンネル（[WireGuardをVPSで設定するには？](https://gloamport.com/ja/guides/how-to-set-up-wireguard-on-a-vps/ "VPSでWireGuardを設定するには？")）と暗号化データボリューム（[VPSのディスクをLUKSで暗号化できますか？](https://gloamport.com/ja/guides/how-to-encrypt-a-vps-disk-with-luks/ "VPSのディスクをLUKSで暗号化できますか？")）です。2 GBのRAMを持つDuskは、12か月契約で月額$5.25です。詳しくは[料金ページ](https://gloamport.com/ja/pricing/ "Gloamport VPSはいくらですか？")をご覧ください。

**まとめ**

- rootではなくsudoユーザーとして作業してください。
- `PasswordAuthentication no`と`KbdInteractiveAuthentication no`を設定します。
- sudoユーザーが動作したら、`PermitRootLogin no`を設定します。
- `AllowUsers`を使って、ログインできるユーザーを指定します。
- `00-hardening.conf`などの、先頭に並ぶ名前のドロップインにオプションを書きます。
- 再起動の前には毎回`sshd -t`を実行し、2つ目のセッションを開いておいてください。
- Duskは12か月契約で月額$5.25です。

## VPSでのSSH強化：よくある質問

### PermitRootLogin prohibit-password は何を意味しますか？

rootが鍵でログインできるが、パスワードではログインできないことを意味します。マニュアルでは既定値として挙げられており、`no`はさらに一歩進んだ設定です。

### sshd_configを変更しても効果がないのはなぜですか？

オプションは最初に得られた値が有効になり、Debianでは sshd_config.d フォルダが先に読み込まれます。以前のドロップインがそのオプションを設定している場合があるため、ファイル名を`00-hardening.conf`にし、`sshd -T`で確認してください。

### SSHを壊さずに設定をテストするには？

`sshd -t`を実行すると、設定ファイルと鍵だけを確認します。再起動するときは、2つ目のセッションを開いておいてください。

### チェックアウトで鍵を貼り付けた場合、パスワードログインを無効にする必要がありますか？

Gloamportでは、貼り付けた鍵によってパスワードログインは既に無効になっています。ドロップインでオプションを設定しておけば、アップグレード後もその状態が保たれます。

### MaxAuthTriesは何をしますか？

1接続あたりの認証試行回数を制限します。マニュアルの既定値は6で、このガイドでは3に設定します。

## 出典

1. [sshd_config(5)マニュアルページ](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html) — Debian (checked 2026-11-10)
2. [sshd(8)マニュアルページ（-t と -T）](https://manpages.debian.org/trixie/openssh-server/sshd.8.en.html) — Debian (checked 2026-11-10)
3. [ssh-copy-id(1)マニュアルページ](https://manpages.debian.org/trixie/openssh-client/ssh-copy-id.1.en.html) — Debian (checked 2026-11-10)

---

Gloamport: Gloamportは、KYCなしのLinux KVMサーバーを販売するVPSプロバイダーです。アカウント番号で注文し、暗号資産で支払います（Moneroを優先）。運営元は、パナマで登録された法人DomaineGoat LLCです。注文では、プラン、コイン、そして希望する場合のみメールアドレスを求めます。氏名、住所、電話番号、身分証明書は求めません。12か月契約では、各プランの価格は、2026年11月10日に読み取ったKYCなしの暗号資産VPSホスト38社の調査から選んだ、名前の付いた比較対象プランより少なくとも25%安くなっています。