# Jak zabezpieczyć SSH na nowym VPS?

> Zabezpiecz SSH na nowym VPS w 6 krokach: tylko klucz, użytkownik sudo, root wyłączony, potem sshd -t. Dusk, 2 GB RAM, $5.25 miesięcznie.

- URL: https://gloamport.com/pl/guides/how-to-harden-ssh-on-a-vps/
- Ostatnia aktualizacja: 2026-11-10
- Wydawca: Gloamport (https://gloamport.com)

Sześć zmian w sshd_config zajmuje około dziesięciu minut. Pierwszą sesję trzeba zostawić otwartą, aż ostatnia zostanie przetestowana.

**Krótka odpowiedź — Jak zabezpieczyć SSH na nowym VPS?**

Aby zabezpieczyć SSH na nowym VPS, utworzyć użytkownika sudo, zainstalować klucz publiczny, a potem ustawić PasswordAuthentication no, PermitRootLogin no i AllowUsers w pliku w /etc/ssh/sshd_config.d/. Sprawdzić poleceniem sshd -t i przeładować usługę. Gloamport Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, kosztuje $5.25 miesięcznie przy 12 miesiącach.

## Które opcje sshd_config są najważniejsze na nowym VPS?

| Opcja | Wartość | Wartość domyślna w podręczniku sshd_config |
| --- | --- | --- |
| `PasswordAuthentication` | `no` | `yes` |
| `KbdInteractiveAuthentication` | `no` | `yes` (plik Debiana ustawia `no`) |
| `PermitRootLogin` | `no` | `prohibit-password` |
| `PubkeyAuthentication` | `yes` | `yes` |
| `AllowUsers` | użytkownik sudo | wszyscy użytkownicy |
| `MaxAuthTries` | `3` | 6 |
| `LoginGraceTime` | `30` | 120 sekund |

Wartości domyślne zgodnie z sshd_config(5), sprawdzone 2026-11-10. Wartości w środkowej kolumnie to wybory tego poradnika.

## Dlaczego zabezpieczać SSH przed wszystkim innym?

SSH to jedyna usługa, którą VPS udostępnia od pierwszej minuty, więc to pierwsze drzwi do zamknięcia. Zgadywanie haseł na porcie 22 zaczyna się, gdy tylko adres jest aktywny, a logowanie tylko kluczem usuwa całą tę klasę ataków.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Jeśli klucz wklejono przy zamówieniu, logowanie hasłem jest już wyłączone, a ten poradnik dodaje pozostałe ograniczenia. Jeśli dostało się tymczasowe hasło roota, trzeba je zmienić przy pierwszym logowaniu poleceniem `passwd`, zanim zrobi się cokolwiek innego. Według ankiety Gloamport dotyczącej 10 listopada 2026, 6 hostów przyjmuje Monero i nie pyta o e-mail przy rejestracji, więc na tych serwerach jedynymi sekretami chroniącymi maszynę są klucz SSH i numer konta.

## Jak krok po kroku zabezpieczyć SSH na nowym VPS?

Wykonywać w tej kolejności, a pierwszą sesję zostawić otwartą do końca.

1. **Utworzenie zwykłego użytkownika** — Uruchomić adduser i dodać użytkownika do grupy sudo, aby przestać pracować jako root.
2. **Instalacja klucza publicznego dla tego użytkownika** — Skopiować klucz autoryzowany do nowego użytkownika albo wykonać ssh-copy-id -i z własnego komputera. Logowanie przetestować w drugim terminalu.
3. **Zapis pliku drop-in** — Utworzyć /etc/ssh/sshd_config.d/00-hardening.conf z opcjami z tabeli. Debian dołącza ten katalog na początku sshd_config, a pierwsza wartość opcji wygrywa, więc nazwa musi sortować się wcześnie.
4. **Test konfiguracji** — Uruchomić sshd -t. Sprawdza plik konfiguracyjny i klucze bez restartowania czegokolwiek. Uruchomić sshd -T, aby wypisać obowiązujące wartości.
5. **Przeładowanie usługi** — Zrestartować ssh i otworzyć nową sesję jako nowy użytkownik, zanim zamknie się starą.
6. **Sprawdzenie, czy logowanie roota i hasłem jest odrzucane** — Spróbować zalogować się jako root oraz hasłem z innego terminala. Oba muszą się nie udać.

## Jak utworzyć użytkownika sudo i przypisać mu klucz?

Utworzyć użytkownika, dodać go do grupy `sudo` i skopiować klucz autoryzowany konta root. Użyć klucza z [Jak wygenerować klucz SSH dla VPS?](https://gloamport.com/pl/guides/how-to-generate-an-ssh-key/ "Jak wygenerować klucz SSH dla VPS?"), jeśli nie został jeszcze utworzony. Zamiast `admin` wpisać wybraną nazwę użytkownika.

*Utworzenie użytkownika i skopiowanie klucza (jako root)*

```bash
adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys
```

## Co zawiera plik drop-in sshd_config?

Opcje umieścić w jednym pliku drop-in, aby aktualizacja pakietu ich nigdy nie nadpisała. Podręcznik sshd_config mówi, że dla większości słów kluczowych używana jest pierwsza uzyskana wartość, a plik Debiana dołącza `/etc/ssh/sshd_config.d/*.conf` na początku, więc prefiks `00-` sprawia, że ten plik wygrywa z plikami takimi jak drop-in obrazu chmurowego.

*/etc/ssh/sshd_config.d/00-hardening.conf*

```text
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30
```

*Najpierw test, potem zastosowanie*

```bash
sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh
```

> **Nigdy nie zamykać jedynej sesji** Jeśli AllowUsers wskazuje użytkownika bez klucza, dostęp zostanie zablokowany. Pierwszą sesję zostawić otwartą, przetestować drugie logowanie jako nowy użytkownik i dopiero potem zamknąć pierwszą. sshd -t sprawdza składnię, a nie to, czy klucz jest zainstalowany.

## Czy zmienić port SSH lub dodać zaporę?

Inny port zmniejsza szum w logach, ale nie dodaje prawdziwego bezpieczeństwa, więc to opcja. Podręcznik pozwala ustawić go przez `Port`, a wiele linii `Port` jest dozwolonych. Po zmianie portu trzeba go otworzyć w zaporze, zanim zrestartuje się `ssh`. Pełna wirtualizacja KVM: własne jądro, własne reguły zapory i własne szyfrowanie dysku, o ile zostanie skonfigurowane, więc można korzystać z zapory, która najlepiej odpowiada potrzebom.

Gdy SSH jest już szczelny, kolejnymi warstwami są prywatny tunel ([Jak skonfigurować WireGuard na VPS?](https://gloamport.com/pl/guides/how-to-set-up-wireguard-on-a-vps/ "Jak skonfigurować WireGuard na VPS?")) i zaszyfrowany wolumin danych ([Czy można zaszyfrować dysk VPS przez LUKS?](https://gloamport.com/pl/guides/how-to-encrypt-a-vps-disk-with-luks/ "Czy można zaszyfrować dysk VPS przez LUKS?")). Dusk, z 2 GB pamięci RAM, kosztuje $5.25 miesięcznie przy 12 miesiącach; zobacz [stronę z cennikiem](https://gloamport.com/pl/pricing/ "Ile kosztuje serwer VPS Gloamport?").

**Podsumowanie**

- Pracować jako użytkownik sudo, a nie jako root.
- Ustawić `PasswordAuthentication no` i `KbdInteractiveAuthentication no`.
- Ustawić `PermitRootLogin no`, gdy użytkownik sudo już działa.
- Użyć `AllowUsers`, aby określić, kto może się logować.
- Umieścić opcje w pliku drop-in, którego nazwa sortuje się jako pierwsza, na przykład `00-hardening.conf`.
- Przed każdym restartem uruchomić `sshd -t` i zostawić otwartą drugą sesję.
- Dusk kosztuje $5.25 miesięcznie przy 12 miesiącach.

## Zabezpieczenie SSH na VPS: najczęstsze pytania

### Co oznacza PermitRootLogin prohibit-password?

Pozwala rootowi logować się kluczem, ale nie hasłem. Podręcznik podaje to jako wartość domyślną, a `no` idzie o krok dalej.

### Dlaczego zmiana w sshd_config nie działa?

Pierwsza wartość opcji wygrywa, a Debian najpierw dołącza katalog sshd_config.d. Wcześniejszy drop-in może ustawiać tę opcję, więc plik nazwać `00-hardening.conf` i sprawdzić poleceniem `sshd -T`.

### Jak przetestować konfigurację bez zerwania SSH?

Uruchomić `sshd -t`, który sprawdza tylko plik konfiguracji i klucze. Przy restarcie zostawić otwartą drugą sesję.

### Czy trzeba wyłączać logowanie hasłem, jeśli klucz wklejono przy zamówieniu?

W Gloamport wklejony klucz już wyłącza logowanie hasłem. Ustawienie tych opcji w pliku drop-in zachowuje ten stan po aktualizacjach.

### Co robi MaxAuthTries?

Ogranicza liczbę prób uwierzytelnienia na połączenie. Podręcznik podaje wartość domyślną 6, a ten poradnik ustawia 3.

## Źródła

1. [Strona podręcznika sshd_config(5)](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html) — Debian (checked 2026-11-10)
2. [Strona podręcznika sshd(8) (-t i -T)](https://manpages.debian.org/trixie/openssh-server/sshd.8.en.html) — Debian (checked 2026-11-10)
3. [Strona podręcznika ssh-copy-id(1)](https://manpages.debian.org/trixie/openssh-client/ssh-copy-id.1.en.html) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport to dostawca VPS, który sprzedaje serwery Linux KVM bez KYC. Zamówienie składa się na numer konta i opłaca kryptowalutą, przede wszystkim Monero; firmę prowadzi DomaineGoat LLC, spółka zarejestrowana w Panamie. Zamówienie wymaga wyboru planu, monety i, tylko jeśli ktoś tego chce, adresu e-mail: bez imienia i nazwiska, bez adresu pocztowego, bez telefonu i bez dokumentu tożsamości. Przy okresie 12 miesięcy każdy plan kosztuje co najmniej o 25% mniej niż wskazany porównywalny plan z badania 38 hostów VPS płatnych kryptowalutami bez KYC, odczytanego 10 listopada 2026.