# Hoe verhard ik SSH op een nieuwe VPS?

> SSH op een nieuwe VPS verharden in 6 stappen: alleen sleutel, sudo-gebruiker, root-login uit, dan sshd -t. Dusk, 2 GB RAM, $5.25 per maand.

- URL: https://gloamport.com/nl/guides/how-to-harden-ssh-on-a-vps/
- Laatst bijgewerkt: 2026-11-10
- Uitgever: Gloamport (https://gloamport.com)

Zes wijzigingen in sshd_config kosten ongeveer tien minuten. Houd uw eerste sessie open tot de laatste is getest.

**Snel antwoord — Hoe verhard ik SSH op een nieuwe VPS?**

Om SSH op een nieuwe VPS te verharden, maakt u een sudo-gebruiker, zet u uw publieke sleutel erin, en stelt u PasswordAuthentication no, PermitRootLogin no en AllowUsers in via een drop-in-bestand onder /etc/ssh/sshd_config.d/. Controleer het met sshd -t en laad de service opnieuw. Gloamport Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, kost $5.25 per maand bij 12 maanden.

## Welke sshd_config-opties zijn het belangrijkst op een nieuwe VPS?

| Optie | Waarde | Standaard volgens de handleiding van sshd_config |
| --- | --- | --- |
| `PasswordAuthentication` | `no` | `yes` |
| `KbdInteractiveAuthentication` | `no` | `yes` (het bestand van Debian zet `no`) |
| `PermitRootLogin` | `no` | `prohibit-password` |
| `PubkeyAuthentication` | `yes` | `yes` |
| `AllowUsers` | uw sudo-gebruiker | alle gebruikers |
| `MaxAuthTries` | `3` | 6 |
| `LoginGraceTime` | `30` | 120 seconden |

Standaardwaarden zoals vermeld in sshd_config(5), gecontroleerd op 2026-11-10. De waarden in de middelste kolom zijn de keuzes van deze gids.

## Waarom SSH eerst verharden?

SSH is de ene dienst die elke VPS vanaf de eerste minuut blootstelt, dus het is de eerste deur om op slot te doen. Wachtwoordraden op poort 22 begint zodra een adres live gaat, en een login met alleen een sleutel haalt die hele klasse aanvallen weg.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Als u bij het afrekenen een sleutel heeft geplakt, staat wachtwoordlogin al uit, en deze gids voegt de overige beperkingen toe. Heeft u een tijdelijk root-wachtwoord gekregen, wijzig het dan bij de eerste login met `passwd` voordat u iets anders doet. Volgens het onderzoek van Gloamport naar 10 november 2026 nemen 6 hosts Monero en vragen ze bij aanmelding geen e-mail. Op die servers zijn de SSH-sleutel en het accountnummer dus de enige geheimen die de machine beschermen.

## Hoe verhard ik SSH op een nieuwe VPS, stap voor stap?

Doe ze in deze volgorde, en houd de eerste sessie tot het eind open.

1. **Maak een gewone gebruiker aan** — Voer adduser uit en voeg de gebruiker toe aan de groep sudo, zodat u niet meer als root werkt.
2. **Installeer uw publieke sleutel voor die gebruiker** — Kopieer uw autorisatiesleutel naar de nieuwe gebruiker, of voer ssh-copy-id -i uit vanaf uw eigen computer. Test de login in een tweede terminal.
3. **Schrijf een drop-in-bestand** — Maak /etc/ssh/sshd_config.d/00-hardening.conf met de opties uit de tabel. Debian neemt die map aan het begin van sshd_config op, en de eerste waarde van een optie wint, dus de naam moet vroeg in de sortering staan.
4. **Test de configuratie** — Voer sshd -t uit. Dit controleert het configuratiebestand en de sleutels zonder iets te herstarten. Voer sshd -T uit om de effectieve waarden te tonen.
5. **Laad de service opnieuw** — Herstart ssh en open een nieuwe sessie als de nieuwe gebruiker voordat u de oude sluit.
6. **Bevestig dat root en wachtwoorden worden geweigerd** — Probeer vanaf een andere terminal in te loggen als root en met een wachtwoord. Beide moeten mislukken.

## Hoe maak ik een sudo-gebruiker aan en geef ik die mijn sleutel?

Maak de gebruiker aan, voeg hem toe aan `sudo`, en kopieer de autorisatiesleutel van het root-account naar hem. Gebruik uw sleutel uit [Hoe genereer ik een SSH-sleutel voor mijn VPS?](https://gloamport.com/nl/guides/how-to-generate-an-ssh-key/ "Hoe maak ik een SSH-sleutel voor mijn VPS?") als u er nog geen heeft gemaakt. Vervang `admin` door de gebruikersnaam die u wilt.

*Maak de gebruiker aan en kopieer de sleutel (als root)*

```bash
adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys
```

## Wat hoort in het drop-in-bestand van sshd_config?

Zet de opties in één drop-in, zodat een pakketupgrade ze nooit overschrijft. De handleiding van sshd_config zegt dat voor de meeste trefwoorden de eerste verkregen waarde wordt gebruikt, en dat het bestand van Debian `/etc/ssh/sshd_config.d/*.conf` aan het begin opneemt. Het voorvoegsel `00-` zorgt dus dat uw bestand wint van bestanden zoals het eigen drop-in-bestand van een cloud-image.

*/etc/ssh/sshd_config.d/00-hardening.conf*

```text
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30
```

*Test, en pas dan toe*

```bash
sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh
```

> **Sluit nooit uw enige sessie** Als AllowUsers een gebruiker noemt zonder uw sleutel, sluit u uzelf buiten. Houd de eerste sessie open, test een tweede login als de nieuwe gebruiker, en sluit de eerste pas daarna. sshd -t controleert de syntaxis, niet of uw sleutel is geïnstalleerd.

## Moet ik de SSH-poort wijzigen of een firewall toevoegen?

Een andere poort vermindert logruis maar voegt geen echte beveiliging toe, dus zie het als optioneel. De handleiding laat u die instellen met `Port`, en meerdere `Port`-regels zijn toegestaan. Als u de poort wijzigt, open dan de nieuwe poort in uw firewall voordat u `ssh` herstart. Volledige KVM-virtualisatie: uw eigen kernel, uw eigen firewallregels en uw eigen schijfversleuteling als u die instelt, zodat u de firewall gebruikt die bij u past.

Zodra SSH goed is afgesloten, zijn de volgende lagen een privétunnel ([Hoe zet ik WireGuard op een VPS?](https://gloamport.com/nl/guides/how-to-set-up-wireguard-on-a-vps/ "Hoe zet ik WireGuard op een VPS?")) en een versleuteld datavolume ([Kan ik een VPS-schijf versleutelen met LUKS?](https://gloamport.com/nl/guides/how-to-encrypt-a-vps-disk-with-luks/ "Kan ik een VPS-schijf versleutelen met LUKS?")). Dusk, met 2 GB RAM, kost $5.25 per maand bij 12 maanden; zie [de prijspagina](https://gloamport.com/nl/pricing/ "Hoeveel kost een VPS van Gloamport?").

**Samengevat**

- Werk als sudo-gebruiker, niet als root.
- Zet `PasswordAuthentication no` en `KbdInteractiveAuthentication no`.
- Zet `PermitRootLogin no` uit zodra de sudo-gebruiker werkt.
- Gebruik `AllowUsers` om te bepalen wie mag inloggen.
- Zet de opties in een drop-in waarvan de naam eerst sorteert, zoals `00-hardening.conf`.
- Voer `sshd -t` uit voor elke herstart en houd een tweede sessie open.
- Dusk kost $5.25 per maand bij 12 maanden.

## SSH verharden op een VPS: veelgestelde vragen

### Wat betekent PermitRootLogin prohibit-password?

Root mag inloggen met een sleutel maar niet met een wachtwoord. De handleiding noemt dit de standaard, en `no` gaat een stap verder.

### Waarom heeft mijn wijziging in sshd_config geen effect?

De eerste waarde van een optie wint, en Debian neemt eerst de map sshd_config.d op. Een eerder drop-in-bestand kan de optie al zetten, dus geef uw bestand de naam `00-hardening.conf` en controleer met `sshd -T`.

### Hoe test ik de configuratie zonder SSH te breken?

Voer `sshd -t` uit, dat alleen het configuratiebestand en de sleutels controleert. Houd een tweede sessie open als u herstart.

### Moet ik wachtwoordlogin uitzetten als ik bij het afrekenen een sleutel heb geplakt?

Bij Gloamport staat wachtwoordlogin al uit na het plakken van een sleutel. Opties in een drop-in houden dat zo na upgrades.

### Wat doet MaxAuthTries?

Het beperkt het aantal authenticatiepogingen per verbinding. De handleiding geeft als standaard 6, en deze gids zet 3.

## Bronnen

1. [Handleiding sshd_config(5)](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html) — Debian (checked 2026-11-10)
2. [Handleiding sshd(8) (-t en -T)](https://manpages.debian.org/trixie/openssh-server/sshd.8.en.html) — Debian (checked 2026-11-10)
3. [Handleiding ssh-copy-id(1)](https://manpages.debian.org/trixie/openssh-client/ssh-copy-id.1.en.html) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport is een VPS-aanbieder die Linux KVM-servers verkoopt zonder KYC, besteld met een accountnummer en betaald in crypto, Monero eerst; het wordt beheerd door DomaineGoat LLC, een in Panama geregistreerd bedrijf. Een bestelling vraagt om een plan, een munt en, alleen als u dat wilt, een e-mailadres: geen naam, geen postadres, geen telefoonnummer en geen identiteitsdocument. Op de termijn van 12 maanden ligt elk plan minstens 25% onder een genoemd vergelijkbaar plan uit een onderzoek van 38 crypto-VPS-hosts zonder KYC, gelezen op 10 november 2026.