Як захистити SSH на новому VPS?

Чому варто спершу захистити SSH?

SSH — єдина служба, яку кожен VPS відкриває з першої хвилини, тож це перші двері, які треба замкнути. Перебирання паролів на порту 22 починається, щойно адреса стає активною, а вхід лише за ключем знімає увесь цей клас атак.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Якщо ви вставили ключ під час оформлення, вхід за паролем уже вимкнено, і цей посібник додає решту обмежень. Якщо ви отримали тимчасовий пароль root, змініть його при першому вході командою passwd, перш ніж робити будь-що інше. За опитуванням Gloamport серед 10 листопада 2026 р., 6 хостів приймають Monero і не вимагають електронної пошти під час реєстрації, тож на таких серверах захищають машину лише SSH-ключ і номер облікового запису.

Як створити користувача sudo і дати йому мій ключ?

Створіть користувача, додайте його до групи sudo і скопіюйте авторизований ключ облікового запису root цьому користувачеві. Використайте свій ключ з Як згенерувати SSH-ключ для мого VPS?, якщо ще його не створили. Замість admin вкажіть ім'я користувача, яке хочете.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

Що має бути у файлі-доповненні sshd_config?

Розмістіть параметри в одному доповненні, щоб оновлення пакета ніколи їх не перезаписало. Посібник sshd_config стверджує, що для більшості ключових слів використовується перше отримане значення, і що файл Debian включає /etc/ssh/sshd_config.d/*.conf на початку, тож префікс 00- робить ваш файл пріоритетним над файлами, як-от доповнення образу хмарного провайдера.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

Чи змінювати порт SSH або додавати брандмауер?

Інший порт зменшує шум у логах, але не додає реальної безпеки, тож вважайте це необов'язковим. Посібник дозволяє задати його через Port, і можна мати кілька рядків Port. Якщо ви змінюєте порт, відкрийте новий порт у брандмауері перед перезапуском ssh. Повна віртуалізація KVM: власне ядро, власні правила брандмауера і власне шифрування диска, якщо ви його налаштуєте, тож ви використовуєте той брандмауер, який вам підходить.

Коли SSH налаштовано, наступні рівні — приватний тунель (Як налаштувати WireGuard на VPS?) і зашифрований том даних (Чи можна зашифрувати диск VPS за допомогою LUKS?). Dusk з 2 GB RAM коштує $5.25 на місяць при 12-місячному терміні; дивіться сторінку цін.