Asegurar la máquina en la primera hora

La máquina se crea y arranca en aproximadamente un minuto tras el pago, y desde ese momento su dirección pública es visible para todo internet. Los primeros intentos de adivinar la contraseña de root llegan en media hora: eso no es una exageración, sino el ruido de fondo habitual de la red. Una hora de trabajo concentrado cubre casi todos los escenarios de ataque típicos.

Paso 1. Claves en lugar de contraseña

En la pestaña «Acceso» del panel /hosting/vds/m/<id>, en la subsección «Claves SSH», añade tu clave pública. La lista se reemplaza por completo, así que pega de una vez todas las claves que necesites, incluida una de reserva.

Guardar las claves reinicia una máquina en funcionamiento: las claves se aplican en la configuración inicial durante el arranque. Precisamente por eso este paso va primero: en una máquina vacía un reinicio cuesta medio minuto, en una de producción ya es tiempo de inactividad. Pega todo el conjunto de una sola vez.

Esto se aplica solo a Linux. Windows Server no tiene claves SSH en absoluto: ahí inicias sesión por RDP como Administrator con la contraseña del panel, y el endurecimiento empieza con protección de RDP.

ssh-keygen -t ed25519 -C "work laptop"
cat ~/.ssh/id_ed25519.pub
ssh root@<address>

La contraseña de root se guarda cifrada y se muestra con un botón en esa misma pestaña: consérvala como vía de emergencia, no como tu forma habitual de iniciar sesión. Más sobre esto en claves y contraseñas de reserva.

Paso 2. Un usuario normal

No necesitas trabajar como root todo el tiempo:

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh

Comprueba que puedes iniciar sesión con el nuevo usuario en otra ventana de terminal. Detalles en usuarios y sudo.

Paso 3. Cortafuegos

apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable
ufw status verbose

Añade la regla para SSH antes de activarlo. Aunque te quedes fuera, la consola del panel funciona independientemente de la red, pero perderás tiempo. Guía paso a paso: cortafuegos ufw.

Paso 4. Actualizaciones y SSH

apt update && apt upgrade -y

Después cierra el inicio de sesión de root por contraseña: consulta desactivar el inicio de sesión de root y endurecimiento de SSH. Las actualizaciones de seguridad automáticas se configuran una sola vez: unattended-upgrades.

Paso 5. Revisa lo que tienes

ss -tulpn
ufw status verbose
systemctl list-units --type=service --state=running
grep -c "Failed password" /var/log/auth.log

Cada línea de la salida de ss debería tener sentido para ti. Un servicio desconocido en una dirección pública es una puerta que no sabías que existía.

Lista de comprobación de la primera hora

No lo dejes para «cuando tenga el proyecto montado». Te hackean no porque alguien se interese por ti, sino porque tu dirección acabó en la lista de alguien y las contraseñas se fuerzan contra ella las 24 horas del día.