Чек-лист базовой защиты VPS за 15 минут: SSH, firewall, обновления

Новый VPS начинают сканировать боты уже через минуты после выдачи IP. Эти шаги закрывают подавляющее большинство автоматических атак и занимают четверть часа.

1. SSH по ключу, без пароля

Сгенерируйте ключ, загрузите публичную часть на сервер и отключите вход по паролю в /etc/ssh/sshd_config: PasswordAuthentication no. Это сразу обнуляет брутфорс.

2. Файрвол: закройте всё лишнее

Оставьте открытыми только нужные порты. С ufw: ufw allow 22, ufw allow 80, ufw allow 443, затем ufw enable.

3. Автообновления безопасности

На Debian/Ubuntu: apt install unattended-upgrades. Критические патчи будут ставиться сами.

4. fail2ban против перебора

apt install fail2ban — он автоматически банит IP после нескольких неудачных попыток входа.

Что делать дальше

• Заведите отдельного пользователя вместо root для повседневной работы.
• Настройте резервные копии — защита не спасает от своей же ошибки rm.
• Проверьте открытые порты снаружи: ss -tlnp на сервере и скан извне.

Это не «полная» безопасность, но планка, ниже которой держать публичный сервер нельзя.