Hoe verhard ik SSH op een nieuwe VPS?

Waarom SSH eerst verharden?

SSH is de ene dienst die elke VPS vanaf de eerste minuut blootstelt, dus het is de eerste deur om op slot te doen. Wachtwoordraden op poort 22 begint zodra een adres live gaat, en een login met alleen een sleutel haalt die hele klasse aanvallen weg.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Als u bij het afrekenen een sleutel heeft geplakt, staat wachtwoordlogin al uit, en deze gids voegt de overige beperkingen toe. Heeft u een tijdelijk root-wachtwoord gekregen, wijzig het dan bij de eerste login met passwd voordat u iets anders doet. Volgens het onderzoek van Gloamport naar 10 november 2026 nemen 6 hosts Monero en vragen ze bij aanmelding geen e-mail. Op die servers zijn de SSH-sleutel en het accountnummer dus de enige geheimen die de machine beschermen.

Hoe maak ik een sudo-gebruiker aan en geef ik die mijn sleutel?

Maak de gebruiker aan, voeg hem toe aan sudo, en kopieer de autorisatiesleutel van het root-account naar hem. Gebruik uw sleutel uit Hoe genereer ik een SSH-sleutel voor mijn VPS? als u er nog geen heeft gemaakt. Vervang admin door de gebruikersnaam die u wilt.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

Wat hoort in het drop-in-bestand van sshd_config?

Zet de opties in één drop-in, zodat een pakketupgrade ze nooit overschrijft. De handleiding van sshd_config zegt dat voor de meeste trefwoorden de eerste verkregen waarde wordt gebruikt, en dat het bestand van Debian /etc/ssh/sshd_config.d/*.conf aan het begin opneemt. Het voorvoegsel 00- zorgt dus dat uw bestand wint van bestanden zoals het eigen drop-in-bestand van een cloud-image.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

Moet ik de SSH-poort wijzigen of een firewall toevoegen?

Een andere poort vermindert logruis maar voegt geen echte beveiliging toe, dus zie het als optioneel. De handleiding laat u die instellen met Port, en meerdere Port-regels zijn toegestaan. Als u de poort wijzigt, open dan de nieuwe poort in uw firewall voordat u ssh herstart. Volledige KVM-virtualisatie: uw eigen kernel, uw eigen firewallregels en uw eigen schijfversleuteling als u die instelt, zodat u de firewall gebruikt die bij u past.

Zodra SSH goed is afgesloten, zijn de volgende lagen een privétunnel (Hoe zet ik WireGuard op een VPS?) en een versleuteld datavolume (Kan ik een VPS-schijf versleutelen met LUKS?). Dusk, met 2 GB RAM, kost $5.25 per maand bij 12 maanden; zie de prijspagina.