Làm sao để tăng cường bảo mật SSH trên VPS mới?

Tại sao phải tăng cường bảo mật SSH trước tiên?

SSH là dịch vụ duy nhất mà mọi VPS đều mở từ phút đầu tiên, nên đó là cửa đầu tiên cần khóa. Việc dò đoán mật khẩu trên cổng 22 bắt đầu ngay khi một địa chỉ được kích hoạt, và đăng nhập chỉ bằng khóa loại bỏ hoàn toàn lớp tấn công đó.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Nếu bạn đã dán khóa khi thanh toán, đăng nhập bằng mật khẩu đã tắt sẵn, và hướng dẫn này bổ sung các giới hạn còn lại. Nếu bạn nhận một mật khẩu root tạm thời, hãy đổi nó ngay khi đăng nhập lần đầu bằng passwd, trước khi làm bất cứ việc gì khác. Theo khảo sát của Gloamport về 10 tháng 11, 2026, 6 máy chủ nhận Monero và không yêu cầu email khi đăng ký, nên trên những máy chủ đó, khóa SSH và số tài khoản là hai bí mật duy nhất bảo vệ máy.

Làm sao để tạo người dùng sudo và cấp khóa cho nó?

Tạo người dùng, thêm vào nhóm sudo, và sao chép khóa được phép của tài khoản root sang người dùng đó. Dùng khóa của bạn từ Làm sao để tạo khóa SSH cho VPS? nếu bạn chưa có khóa. Thay admin bằng tên người dùng bạn muốn.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

Tệp drop-in của sshd_config chứa gì?

Đặt các tùy chọn trong một drop-in duy nhất để việc nâng cấp gói không bao giờ ghi đè chúng. Hướng dẫn sshd_config cho biết với hầu hết từ khóa, giá trị đầu tiên gặp được sẽ được dùng, và tệp của Debian bao gồm /etc/ssh/sshd_config.d/*.conf ở đầu, nên tiền tố 00- làm cho tệp của bạn thắng các drop-in khác như drop-in riêng của image cloud.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

Có nên đổi cổng SSH hay thêm tường lửa không?

Đổi cổng giảm nhiễu trong nhật ký nhưng không thêm bảo mật thực sự, nên hãy coi đây là tùy chọn. Hướng dẫn cho phép đặt bằng Port, và được phép có nhiều dòng Port. Nếu bạn đổi cổng, hãy mở cổng mới trên tường lửa trước khi khởi động lại ssh. Ảo hóa KVM đầy đủ: kernel riêng, quy tắc tường lửa riêng và mã hóa đĩa riêng nếu bạn thiết lập, để bạn dùng tường lửa phù hợp với mình.

Khi SSH đã được siết chặt, các lớp tiếp theo là một đường hầm riêng tư (Làm sao để thiết lập WireGuard trên VPS?) và một ổ dữ liệu được mã hóa (Có thể mã hóa ổ đĩa VPS bằng LUKS không?). Dusk, với 2 GB RAM, có giá $5.25 mỗi tháng khi đăng ký 12 tháng; xem trang giá.