Die Maschine in der ersten Stunde absichern

Die Maschine wird erstellt und startet etwa eine Minute nach der Zahlung, und ab diesem Moment ist ihre öffentliche Adresse für das gesamte Internet sichtbar. Die ersten Versuche, das Root-Passwort zu erraten, treffen innerhalb einer halben Stunde ein — das ist keine Übertreibung, sondern das gewöhnliche Hintergrundrauschen des Netzwerks. Eine Stunde konzentrierter Arbeit deckt fast alle typischen Angriffsszenarien ab.

Schritt 1. Schlüssel statt Passwort

Im Tab „Zugriff“ des Panels /hosting/vds/m/<id> fügen Sie im Unterabschnitt „SSH-Schlüssel“ Ihren öffentlichen Schlüssel hinzu. Die Liste wird vollständig ersetzt, fügen Sie also alle benötigten Schlüssel auf einmal ein, einschließlich eines Ersatzschlüssels.

Das Speichern der Schlüssel startet eine laufende Maschine neu — die Schlüssel werden beim Booten durch das initiale Setup angewendet. Genau deshalb kommt dieser Schritt zuerst: Auf einer leeren Maschine kostet ein Neustart eine halbe Minute, auf einer Produktivmaschine ist es bereits Ausfallzeit. Fügen Sie den gesamten Satz auf einmal ein.

Dies gilt nur für Linux. Windows Server kennt überhaupt keine SSH-Schlüssel: Dort melden Sie sich per RDP als Administrator mit dem Passwort aus dem Panel an, und die Absicherung beginnt mit RDP-Schutz.

ssh-keygen -t ed25519 -C "work laptop"
cat ~/.ssh/id_ed25519.pub
ssh root@<address>

Das Root-Passwort wird verschlüsselt gespeichert und per Schaltfläche im selben Tab angezeigt — bewahren Sie es als Notfallweg auf, nicht als Ihren alltäglichen Anmeldeweg. Mehr dazu in Ersatzschlüssel und Passwörter.

Schritt 2. Ein regulärer Benutzer

Sie müssen nicht ständig als root arbeiten:

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh

Prüfen Sie in einem separaten Terminalfenster, ob Sie sich mit dem neuen Benutzer anmelden können. Details in Benutzer und sudo.

Schritt 3. Firewall

apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable
ufw status verbose

Fügen Sie die Regel für SSH hinzu, bevor Sie sie aktivieren. Selbst wenn Sie sich aussperren, funktioniert die Konsole im Panel unabhängig vom Netzwerk, aber Sie verlieren Zeit. Anleitung: ufw-Firewall.

Schritt 4. Updates und SSH

apt update && apt upgrade -y

Sperren Sie anschließend die Root-Anmeldung per Passwort — siehe Root-Anmeldung deaktivieren und SSH-Absicherung. Automatische Sicherheitsupdates werden einmal eingerichtet: unattended-upgrades.

Schritt 5. Prüfen Sie, was Sie haben

ss -tulpn
ufw status verbose
systemctl list-units --type=service --state=running
grep -c "Failed password" /var/log/auth.log

Jede Zeile in der ss-Ausgabe sollte für Sie Sinn ergeben. Ein unbekannter Dienst auf einer öffentlichen Adresse ist eine Tür, von der Sie nichts wussten.

Checkliste für die erste Stunde

Schieben Sie das nicht auf bis „wenn ich das Projekt eingerichtet habe“. Sie werden nicht gehackt, weil sich jemand für Sie interessiert, sondern weil Ihre Adresse auf irgendeiner Liste gelandet ist und rund um die Uhr Passwörter dagegen durchprobiert werden.