The IT Explorer

SSH密钥登录配置速查：从单机到多服务器管理的完整指南

2026-07-31T10:00:00.000Z

结论先行：SSH 密钥登录三步搞定基础安全——生成 ed25519 密钥、上传公钥、禁掉密码登录。进阶用 ~/.ssh/config 管多服务器、SSH Agent 免密 passphrase、不同账号用不同密钥。配不好要么进不去、要么被爆破，这是 VPS 安全的地基，务必先配密钥、测通能登录、再禁密码（顺序反了会把自己锁外面）。

上篇讲了 VPS 初始化，这篇专门深入 SSH 密钥。如果你管着几台 VPS、几个 GitHub 账号，迟早会遇到密钥对不上的情况——这篇把常见场景一次讲清，配好一次，长期受用。

我的 VPS 推荐：我管理 8 台 VPS，分别在 Vultr、DigitalOcean、AWS 上。如果你还没选 VPS，我推荐这几家性价比高的（Vultr · DigitalOcean）。

1、期望目标

上篇文章我们讲了VPS到手后的初始化，其中SSH密钥登录是核心。但实际使用中，你会遇到更复杂的场景：

✅ 多服务器管理：手头有3-5台VPS，每台服务器用不同密钥
✅ 多账号隔离：GitHub个人账号+公司账号、GitLab多个账号
✅ SSH Agent免密：私钥设置了passphrase，不想每次都输入
✅ 跨平台使用：Mac日常开发、Windows临时管理、手机应急登录
✅ 故障排查：密钥登录失败、权限问题、连接被拒绝

这篇文章的目标是让你在任何SSH场景下都能从容应对。

新手必读路径（30 分钟搞定）：

生成密钥（3.1）
上传公钥（3.2）
配置 SSH Config（3.3）
配置 SSH Agent（3.4）

进阶按需查阅：

多账号管理 → 3.6
故障排查 → 第 5 节
Windows 特殊配置 → 3.4/3.5

2、计划思考

为什么需要单独讲SSH密钥？

上篇文章讲了基础的密钥登录配置，但实际出海开发者的环境更复杂：

场景	挑战	解决方案
多台VPS	每台服务器密钥不同，容易搞混	SSH Config统一管理
多平台账号	GitHub个人+工作、GitLab、Gitee	为每个平台生成独立密钥
私钥设置了passphrase	每次连接都要输密码，烦死	SSH Agent + Keychain
不同操作系统	Mac/Windows/手机各有各的坑	统一流程+针对性配置
密钥泄露应急	某台电脑丢了，所有服务器都要换密钥	密钥分层+快速轮换

整体架构

这个架构让你能：

用不同密钥访问不同服务器（单点故障隔离）
一个命令连接任何服务器（省心）
私钥passphrase只输一次（省事）
电脑丢了，撤回特定密钥就行（安全）

3、操作步骤

3.1 生成密钥对

ed25519 vs RSA：怎么选？

算法	密钥长度	性能	兼容性	推荐场景
ed25519	短（32字节）	快	新系统	首选，现代服务器
RSA 4096	长（4KB）	慢	所有系统	老旧系统、特殊兼容需求

现在的选择：新密钥全部用 ed25519。主流 VPS 商（Vultr · DigitalOcean · Linode · AWS 等）2020 年后的系统都支持 ed25519，放心用。只有当你要连 2017 年前的老系统时，才考虑 RSA 4096。

为不同用途生成不同密钥

尽量一把密钥对应一个用途，方便出问题时单独撤回。为每个场景生成独立密钥：

# 1. 默认密钥（用于大部分VPS）
ssh-keygen -t ed25519 -C "yourname@vps-default"

# 2. GitHub个人账号
ssh-keygen -t ed25519 -f ~/.ssh/github_personal -C "yourname@github"

# 3. GitHub工作账号
ssh-keygen -t ed25519 -f ~/.ssh/github_work -C "work@github"

# 4. 生产环境专用
ssh-keygen -t ed25519 -f ~/.ssh/prod_key -C "prod@company"

参数说明：

-t ed25519：使用ed25519算法
-f filename：指定密钥文件名（不用默认的id_ed25519）
-C comment：添加注释，方便识别（可以是你邮箱、用途描述）

设置passphrase

passphrase 就是"加密密码"，保护你的私钥文件。私钥丢了但有 passphrase，别人也用不了。

生成密钥时会提示：

1	Enter passphrase (empty for no passphrase):

强烈建议设置passphrase！ 这是私钥的最后一道防线，电脑丢了还能保护你的服务器。

好的passphrase：

长度≥12个字符
混合大小写、数字、符号
可以是一句话（空格分隔的多个单词）

💡 passphrase vs 密码
passphrase通常是一句话，比传统密码更长、更容易记，安全性和用户体验都更好。

3.2 上传公钥到服务器

方法A：ssh-copy-id（推荐）

这是最简单的方式，Mac/Linux自带：

# 上传默认密钥
ssh-copy-id user@192.168.1.100

# 上传指定密钥
ssh-copy-id -i ~/.ssh/github_work.pub git@github.com

# 指定端口（SSH没改端口可以忽略）
ssh-copy-id -i ~/.ssh/mykey.pub -p 22000 user@192.168.1.100

输入一次密码，公钥就自动配置好了。

参数说明：

-i identity_file：指定要上传的公钥文件
-p port：指定 SSH 端口（很老的 ssh-copy-id 不支持 -p，改用 -o "Port=22000"）

方法B：手动复制

Windows用户或ssh-copy-id不可用时：

# 1. 查看公钥内容
cat ~/.ssh/github_work.pub

# 2. 复制输出的一整行（ssh-ed25519 AAAA...）

# 3. 登录服务器（user 是服务器用户名如 root/ubuntu，server 是服务器 IP 或域名）
ssh user@server

# 4. 在服务器上执行（将第 2 步看到的公钥内容完整粘贴到下面，ssh-ed25519 开头的一整行）
mkdir -p ~/.ssh
chmod 700 ~/.ssh
echo "ssh-ed25519 AAAA... yourname@github" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

方法C：Windows PowerShell

Windows 10/11自带OpenSSH，可以这样：

# 生成密钥
ssh-keygen -t ed25519 -C "yourname@windows"

# 上传公钥（需要手动复制内容）
type $env:USERPROFILE\.ssh\id_ed25519.pub

# 或者用这个一键命令（需要密码登录）
type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh user@server "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

验证配置

# 测试密钥登录（应该不需要输密码）
ssh -i ~/.ssh/github_work git@github.com

# 如果成功，会看到Welcome信息
# Hi username! You've successfully authenticated...

⚠️ 常见坑
权限不对：.ssh必须是700，authorized_keys必须是600
公钥复制错了：确保是一整行，没有换行或空格
用户搞错了：~/.ssh在服务器上是目标用户的home目录

3.3 SSH Config管理多服务器

这是 SSH 管理的核心——配好后你不用记 IP、端口、用户名。

配置文件位置

在你的本地电脑上编辑（用任意编辑器 nano/vim/VSCode）：

# 方法1：用 nano（简单，文件不存在会自动创建）
nano ~/.ssh/config

# 方法2：用 vim
vim ~/.ssh/config

# 方法3：用 VSCode
code ~/.ssh/config

基本配置模板

# 全局设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

# VPS 生产环境
Host vps-prod
    HostName 192.168.1.100
    User deploy
    Port 22000
    IdentityFile ~/.ssh/prod_key

# VPS 测试环境
Host vps-test
    HostName 192.168.1.101
    User test
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# GitHub 个人账号
Host github.com
    HostName github.com
    User git
    IdentityFile ~/.ssh/github_personal
    IdentitiesOnly yes

# GitHub 工作账号（用别名区分）
Host github-work
    HostName github.com
    User git
    IdentityFile ~/.ssh/github_work
    IdentitiesOnly yes

参数说明：

Host：别名，你用这个名字连接
HostName：真实域名或IP
User：登录用户名
Port：SSH端口
IdentityFile：私钥文件路径
IdentitiesOnly yes：只用指定密钥，避免 SSH 傻傻试遍所有密钥导致服务器拒绝连接（报错 Too many authentication failures）
AddKeysToAgent yes：自动把密钥加到ssh-agent

使用方法

配置好后，连接只用别名：

# 以前要这样
ssh -p 22000 -i ~/.ssh/prod_key deploy@192.168.1.100

# 现在只需要这样
ssh vps-prod

# Git push也自动用对密钥
git push github-work main

高级技巧

通配符匹配：

# 所有AWS服务器都用同一个密钥
Host aws-*
    IdentityFile ~/.ssh/aws_key
    User admin

Host aws-prod
    HostName ec2-xxx.compute.amazonaws.com

Host aws-staging
    HostName ec2-yyy.compute.amazonaws.com

include子配置文件：

# ~/.ssh/config
Host *
    AddKeysToAgent yes

Include config/github
Include config/work
Include config/vps

这样可以把不同用途的配置分开管理，适合复杂环境。

3.4 SSH Agent配置

如果你的私钥设置了passphrase，每次连接都要输入很烦。SSH Agent帮你缓存解密后的私钥，passphrase只输一次。

Mac/Linux配置

启动ssh-agent：

# 启动agent
eval "$(ssh-agent -s)"

# 添加私钥（会提示输入passphrase）
ssh-add ~/.ssh/github_personal
ssh-add ~/.ssh/github_work

# 查看已添加的密钥
ssh-add -l

自动启动（推荐）：

在 ~/.bashrc 或 ~/.zshrc 添加：

# 1. 打开配置文件（Mac 用 nano ~/.zshrc，Linux 用 nano ~/.bashrc）
nano ~/.zshrc

# 2. 在文件末尾粘贴以下内容
# 启动ssh-agent
if [ -z "$SSH_AUTH_SOCK" ]; then
    eval "$(ssh-agent -s)"
fi

# 自动添加所有密钥
# macOS Monterey (12.0) 及以后
ssh-add --apple-use-keychain 2>/dev/null || ssh-add
# 老版本 macOS 去掉 --apple-use-keychain

# 3. Ctrl+O 保存、Ctrl+X 退出

# 4. 使配置生效
source ~/.zshrc

Mac Keychain集成：

Mac可以把passphrase存到系统钥匙串，以后自动解锁：

# 添加密钥时存到keychain（macOS Monterey 12.0 及以后）
ssh-add --apple-use-keychain ~/.ssh/github_personal
# 老版本 macOS：ssh-add ~/.ssh/github_personal

# 或者在SSH config中设置
echo "AddKeysToAgent yes" >> ~/.ssh/config
echo "IdentityFile ~/.ssh/github_personal" >> ~/.ssh/config

Windows配置

Windows 10/11的OpenSSH自带ssh-agent服务：

启用服务：

# 以管理员身份运行PowerShell
# 启动ssh-agent服务
Set-Service ssh-agent -StartupType Automatic
Start-Service ssh-agent

# 添加密钥
ssh-add $env:USERPROFILE\.ssh\id_ed25519

# 查看已添加密钥
ssh-add -l

Git Bash配置：

在 ~/.bashrc 或 ~/.bash_profile 添加：

# 启动ssh-agent
eval $(ssh-agent -s)

# 添加密钥
ssh-add ~/.ssh/id_ed25519

验证Agent工作

# 查看agent中的密钥
ssh-add -l

# 删除某个密钥
ssh-add -d ~/.ssh/github_work

# 清空所有密钥
ssh-add -D

# 测试连接（应该不需要输入passphrase）
ssh vps-prod

SSH Agent 工作流程

1. 首次连接输入passphrase 2. 私钥解密加入Agent缓存 3. 后续连接自动使用缓存 SSH Agent 内存中缓存已解密的私钥自动提供认证默认超时 Agent重启或系统重启

3.5 不同客户端配置

VSCode Remote SSH

很多出海开发者用VSCode直接连服务器开发，配置SSH密钥后超级方便：

安装插件：

VSCode 左侧点击扩展图标（或按 Cmd+Shift+X Mac / Ctrl+Shift+X Windows）
搜索 “Remote - SSH”
点击 Install 安装

配置连接：
按 Cmd+Shift+P（Mac）或 Ctrl+Shift+P（Windows），输入 Remote-SSH: Connect to Host，选择你在 ~/.ssh/config 中配置的别名。

指定密钥：

如果VSCode找不到密钥，在SSH config中明确指定：

Host vps-dev
    HostName 192.168.1.100
    User dev
    IdentityFile ~/.ssh/my_dev_key

Termius / MobaXterm 等第三方工具

这些工具有图形界面，密钥配置方式：

Termius（我用这个，跨设备同步密钥很方便）：

Preferences → Keys → Import Key
选择你的私钥文件
新建Host时，在Key field选择导入的密钥

MobaXterm（免费版够用）：

Tools → MobaKeyGen 生成或导入密钥
Session配置 → SSH settings → Use private key
选择你保存的 .ppk 文件

💡 格式转换
某些Windows工具需要PuTTY格式的 .ppk 文件，用PuTTYgen转换：
打开PuTTYgen
Load → 选择你的OpenSSH私钥
Save private key → 保存为 .ppk

手机端应急

Termius (iOS/Android)：

支持SSH密钥，可以从电脑同步或手动导入
设置好之后，手机也能应急管理服务器

JuiceSSH (Android)：

支持密钥认证
可以生成新密钥或导入现有密钥

3.6 多账号场景（GitHub/GitLab等）

出海开发者通常有多个GitHub账号：个人项目、公司项目、为客户管理的账号。

为每个平台生成独立密钥

# GitHub 个人账号
ssh-keygen -t ed25519 -f ~/.ssh/github_personal -C "personal@github"

# GitHub 工作账号
ssh-keygen -t ed25519 -f ~/.ssh/github_work -C "work@github"

# GitLab
ssh-keygen -t ed25519 -f ~/.ssh/gitlab -C "yourname@gitlab"

# Gitee（国内项目）
ssh-keygen -t ed25519 -f ~/.ssh/gitee -C "yourname@gitee"

SSH Config配置

# GitHub 个人
Host github.com
    HostName github.com
    User git
    IdentityFile ~/.ssh/github_personal
    IdentitiesOnly yes

# GitHub 工作（用别名区分）
Host github-work
    HostName github.com
    User git
    IdentityFile ~/.ssh/github_work
    IdentitiesOnly yes

# GitLab
Host gitlab.com
    HostName gitlab.com
    User git
    IdentityFile ~/.ssh/gitlab
    IdentitiesOnly yes

# Gitee
Host gitee.com
    HostName gitee.com
    User git
    IdentityFile ~/.ssh/gitee
    IdentitiesOnly yes

添加公钥到各平台

GitHub：

Settings → SSH and GPG keys → New SSH key
粘贴 ~/.ssh/github_personal.pub 的内容
Title设置为 “MacBook Pro” 或其他设备名

GitLab：

Preferences → SSH Keys
粘贴公钥内容
Add key

Git仓库配置

对于不同的GitHub账号，在仓库中设置不同的user（不同账号需要提交不同的作者信息，否则 commit 会显示错误的账号；这是仓库级配置，只对当前仓库生效）：

# 个人仓库
cd ~/projects/personal/myproject
git config user.name "Your Name"
git config user.email "personal@email.com"

# 工作仓库
cd ~/projects/work/companyproject
git config user.name "Your Name"
git config user.email "work@company.com"

测试连接

# 测试GitHub个人账号
ssh -T git@github.com
# Hi personalname! You've successfully authenticated...

# 测试GitHub工作账号
ssh -T git@github-work
# Hi workname! You've successfully authenticated...

# 测试GitLab
ssh -T git@gitlab.com
# Welcome to GitLab, @yourname!

💡 为什么要 IdentitiesOnly yes？
SSH默认会尝试所有找到的密钥，服务器会拒绝太多认证尝试。加上这个参数，SSH只尝试指定的密钥，更快更可靠。

3.7 禁用密码登录（最后一步，别急着做）

⚠️ 顺序铁律：先开一个新终端用密钥测通能登录，再禁密码。顺序反了会把自己锁在服务器外面。

密钥配好、测通后，把密码登录关掉，全网的爆破脚本就彻底没戏了：

# 1. 先开一个新终端，用密钥测登录（原终端保持开着，留作回退）
ssh -i ~/.ssh/id_ed25519 user@server

# 2. 确认能登进后，改 sshd 配置
sudo nano /etc/ssh/sshd_config
# 找到或新增这两行：
#   PasswordAuthentication no
#   PubkeyAuthentication yes

# 3. 重载 sshd（不断当前连接）
sudo systemctl reload sshd

# 4. 再开一个新终端验证：密钥能登、密码登不上
ssh user@server                             # 应该直接进去（密钥）
ssh -o PubkeyAuthentication=no user@server  # 应该被拒（密码已关）

万一密钥登不上：原终端还开着，把 PasswordAuthentication 改回 yes、再 reload sshd 即可回退，不会把自己锁死。这一步是 SSH 安全的地基，但一定放在最后——前面所有密钥配置都是为了它能安全落地。

4、总结

关键要点回顾

主题	关键命令/配置	为什么要这么做
生成密钥	`ssh-keygen -t ed25519 -C "注释"`	不同用途用不同密钥，方便隔离和轮换
上传公钥	`ssh-copy-id -i key.pub user@host`	最简单的方式，自动配置权限
SSH Config	`~/.ssh/config` 配置文件	一个命令管理所有服务器，不用记IP端口用户名
多账号	用Host别名区分（github-work、github）	同一平台多个账号，各自独立
SSH Agent	`ssh-add` + `AddKeysToAgent yes`	Passphrase只输一次，省时省力
权限检查	`chmod 700 ~/.ssh && chmod 600 authorized_keys`	SSH对权限要求严格，错了会拒绝密钥登录
测试连接	`ssh -v user@host`	用 `-v` 查详细日志，排查问题

配置文件位置速查

本地电脑：
~/.ssh/config              # SSH客户端配置
~/.ssh/id_ed25519          # 默认私钥
~/.ssh/id_ed25519.pub      # 默认公钥
~/.ssh/github_personal     # GitHub个人私钥

服务器：
~/.ssh/authorized_keys     # 允许登录的公钥列表
/etc/ssh/sshd_config       # SSH服务端配置

安全建议

密钥分层：生产环境、测试环境、个人账号用不同密钥
定期轮换：每半年到一年换一次密钥（特别是私钥没设passphrase的）
备份密钥：私钥加密备份到安全的地方（U盘、密码管理器）
监控登录：定期用 last 命令查看登录记录
撤回密钥：电脑丢了，立即从服务器删除 ~/.ssh/authorized_keys 中的对应公钥

常用命令速查

# 生成密钥
ssh-keygen -t ed25519 -C "注释"

# 上传公钥
ssh-copy-id -i key.pub user@host

# 测试连接
ssh -v user@host

# 查看已添加密钥
ssh-add -l

# 查看指纹（验证密钥）
ssh-keygen -lf ~/.ssh/id_ed25519.pub

# 修改passphrase
ssh-keygen -p -f ~/.ssh/id_ed25519

# 从私钥提取公钥
ssh-keygen -y -f ~/.ssh/id_ed25519 > ~/.ssh/id_ed25519.pub

5、异常记录

Q1：还是提示输入密码？

诊断：

1 2	# 用详细模式查看SSH在用什么认证方式 ssh -v user@host

常见原因：

服务器上密钥没配置对

1
2
3

# 在服务器上检查
cat ~/.ssh/authorized_keys
# 确认你的公钥在里面，是一整行，没有换行

权限问题（最常见）

# 在服务器上修复
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chown -R youruser:youruser ~/.ssh

SSH配置禁用了密钥认证

1
2
3

# 在服务器上检查
grep PubkeyAuthentication /etc/ssh/sshd_config
# 应该是：PubkeyAuthentication yes

用错了私钥

1 2	# 明确指定私钥 ssh -i ~/.ssh/correct_key user@host

Q2：权限太开放（Permissions are too open）？

错误信息：

1	Permissions 0644 for '/home/user/.ssh/id_ed25519' are too open.

解决：

# 修复私钥权限（必须600）
chmod 600 ~/.ssh/id_ed25519

# 修复私钥目录权限（必须700）
chmod 700 ~/.ssh

💡 为什么SSH这么在意权限？
如果私钥文件能被其他用户读取，安全就没意义了。SSH严格检查权限，避免你无意中暴露私钥。

Q3：Windows上没有ssh-copy-id？

方法A：用PowerShell

1	type $env:USERPROFILE\.ssh\id_ed25519.pub \| ssh user@host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

方法B：手动复制

cat ~/.ssh/id_ed25519.pub
复制输出
SSH登录服务器，手动粘贴到 ~/.ssh/authorized_keys

方法C：用第三方工具

Termius、MobaXterm等图形化工具都有密钥管理功能，比命令行更直观。

Q4：SSH Agent不工作？

检查agent是否运行：

# Mac/Linux
echo $SSH_AUTH_SOCK
# 如果是空的，说明agent没启动

# 启动agent
eval "$(ssh-agent -s)"

检查密钥是否已添加：

ssh-add -l
# 应该列出已添加的密钥
# 如果是 "The agent has no identities"，需要添加密钥
ssh-add ~/.ssh/your_key

Windows服务没启动：

# 以管理员身份运行
Get-Service ssh-agent
# 如果Status是Stopped，启动它
Start-Service ssh-agent
Set-Service ssh-agent -StartupType Automatic

Q5：多个密钥SSH都试但都不对？

症状：

1	Too many authentication failures

原因：SSH默认会尝试所有找到的密钥，服务器拒绝太多尝试。

解决：在SSH config中加上 IdentitiesOnly yes

Host myserver
    HostName 192.168.1.100
    User myuser
    IdentityFile ~/.ssh/my_key
    IdentitiesOnly yes    # 关键：只尝试指定的密钥

Q6：想换掉旧密钥？

步骤：

# 1. 生成新密钥
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_new -C "rotated@2026"

# 2. 上传新公钥到服务器
ssh-copy-id -i ~/.ssh/id_ed25519_new.pub user@host

# 3. 测试新密钥登录
ssh -i ~/.ssh/id_ed25519_new user@host

# 4. 用新密钥登录（保持用新密钥，别用默认/旧密钥），从服务器删除旧公钥
ssh -i ~/.ssh/id_ed25519_new user@host
vim ~/.ssh/authorized_keys  # 手动删除旧公钥那一行
# ⚠️ 删公钥前先备份，误删会把自己关在服务器外！

# 5. 更新SSH config（如果用了自定义文件名）
# 6. 删除旧私钥
rm ~/.ssh/id_ed25519_old

Q7：密钥指纹不匹配？

首次连接会看到：

1 2	The authenticity of host 'xxx' can't be established. ED25519 key fingerprint is SHA256:...

验证指纹：

# 从服务器获取指纹
ssh-keyscan -t ed25519 host 2>/dev/null | ssh-keygen -lf -

# 或者让服务商提供指纹（VPS控制台通常会显示）

指纹不匹配怎么办？

立即停止连接！可能是中间人攻击。联系服务商确认。

Q8：Git push提示权限拒绝？

问题：

1	ERROR: Permission to username/repo.git denied to deploykey

原因：密钥没对，或者SSH config没配置好。

解决：

# 1. 测试SSH连接
ssh -T git@github.com

# 2. 检查用到的密钥
ssh -vT git@github.com
# 在输出中找 "Offering public key"

# 3. 在SSH config中明确指定密钥
Host github.com
    IdentityFile ~/.ssh/correct_github_key
    IdentitiesOnly yes

6、进阶技巧

一键添加多个密钥到Agent

在 ~/.bashrc 或 ~/.zshrc 中添加：

# 自动添加所有密钥到ssh-agent
add_ssh_keys() {
    local keys=(
        ~/.ssh/id_ed25519
        ~/.ssh/github_personal
        ~/.ssh/github_work
        ~/.ssh/prod_key
    )
    
    for key in "${keys[@]}"; do
        if [ -f "$key" ]; then
            ssh-add --apple-use-keychain "$key" 2>/dev/null || ssh-add "$key" 2>/dev/null
        fi
    done
}

# 启动agent并添加密钥
if [ -z "$SSH_AUTH_SOCK" ]; then
    eval "$(ssh-agent -s)"
    add_ssh_keys
fi

密钥过期提醒

创建一个定期任务检查密钥年龄：

#!/bin/bash
# check_ssh_keys.sh

for key in ~/.ssh/*.pub; do
    if [ -f "$key" ]; then
        # macOS 用 stat -f %m；Linux 改成 stat -c %Y
        mtime=$(stat -f %m "$key" 2>/dev/null || stat -c %Y "$key")
        age=$(( ($(date +%s) - mtime) / 86400 ))
        if [ $age -gt 365 ]; then
            echo "⚠️  密钥 $(basename $key) 已经 $age 天没换了，考虑轮换"
        fi
    fi
done

密钥轮换脚本

#!/bin/bash
# rotate_ssh_key.sh
set -e

KEY_NAME="$1"
NEW_KEY="${KEY_NAME}_new_$(date +%Y%m%d)"

echo "=== SSH密钥轮换脚本 ==="
echo "目标密钥：$KEY_NAME"
echo "新密钥名：$NEW_KEY"
echo ""

# 1. 生成新密钥
echo "[1/5] 生成新密钥..."
ssh-keygen -t ed25519 -f ~/.ssh/"$NEW_KEY" -C "rotated@$(date +%Y-%m-%d)"

# 2. 显示公钥，提示上传
echo ""
echo "[2/5] 请将以下公钥上传到服务器："
cat ~/.ssh/"${NEW_KEY}".pub
echo ""
read -p "上传完成后按回车继续..."

# 3. 测试新密钥
echo "[3/5] 测试新密钥..."
read -p "输入服务器地址（user@host）: " server
ssh -i ~/.ssh/"$NEW_KEY" "$server" "echo '新密钥测试成功'"

# 4. 备份旧密钥
echo "[4/5] 备份旧密钥..."
mv ~/.ssh/"$KEY_NAME" ~/.ssh/"${KEY_NAME}_backup_$(date +%Y%m%d)"

# 5. 重命名新密钥
echo "[5/5] 重命名新密钥..."
mv ~/.ssh/"$NEW_KEY" ~/.ssh/"$KEY_NAME"
mv ~/.ssh/"${NEW_KEY}.pub" ~/.ssh/"${KEY_NAME}.pub"

echo "✅ 密钥轮换完成！旧密钥已备份。"

7、FAQ（SSH 密钥最常问）

Q：ed25519 和 RSA 选哪个？
新装一律 ed25519——密钥短、握手快、抗碰撞强度高。老的 RSA 2048 还能用但没必要新生成；RSA 1024 必须立刻换。

Q：私钥 passphrase 忘了怎么办？
找不回，只能重新生成密钥对、重新上传公钥。所以 passphrase 存密码管理器（1Password/Bitwarden），别靠脑子记。

Q：一台电脑能放多把密钥吗？
能。~/.ssh/ 下放多把，用 ~/.ssh/config 的 IdentityFile 给每个 Host 指定对应密钥。别一把密钥走天下（一台泄露全沦陷）。

Q：换电脑怎么迁移密钥？
把 ~/.ssh/ 整个目录（含 .pub 和 config）拷过去，注意私钥权限 600。更稳的做法：新电脑新生成密钥，把旧公钥在服务器撤销。

Q：禁了密码登录会把自己锁外面吗？
会，所以顺序是：先配好密钥 → 开新终端用密钥测能登录 → 再禁密码。千万别先禁密码再配密钥。

下一篇预告

密钥配好、禁了密码，SSH 的地基就稳了。如果还没 VPS 练手，我推荐 Vultr · DigitalOcean。下一篇讲 SSH Config 进阶：Include 子配置、跳板机（ProxyJump）、连接复用，把多服务器管理再往前推一步。

这是「独立开发者工具箱」第 8 篇，系列持续更新中，帮你少踩坑多出海。

Sources:

VPS 到手后的第一个小时：从裸机到安全可用的完整初始化指南（让你的OpenClaw更安全）

2026-01-21T11:51:00.000Z

新买的 VPS 就像一扇没上锁的门，全世界的脚本小子都在敲。这篇文章带你把门锁好。让你的小龙虾（openclaw）不会乱跑乱动。

0、写在前面

刚买了一台 VPS，兴冲冲地拿到 IP 和 root 密码，然后呢？

很多人的做法是：直接开始装软件、部署项目。

这是个危险的习惯。

你的 VPS 有一个公网 IP，意味着全世界任何人都可以尝试连接它。而默认配置下：

端口是公开的 22
用户名是众所周知的 root
只剩一个密码在保护你

每天有无数自动化脚本在扫描 IP 段，尝试用常见密码暴力破解。你的服务器从上线那一刻起，就已经在被攻击了。

所以，拿到 VPS 后的第一件事，不是装软件，而是做安全初始化。

1、期望目标

这篇文章的目标是：

✅ 建立安全的远程访问：SSH 密钥登录 + 非默认端口
✅ 创建普通用户：避免直接使用 root
✅ 配置防火墙：只开放必要端口
✅ 启用网络加速：BBR 让网络起飞
✅ 防止暴力破解：fail2ban 自动封禁恶意 IP

做完这些，你的 VPS 就有了一个坚实的基础，可以安心部署各种服务了。

2、计划思考

为什么要做这些配置？

刚买的 VPS 就像一间刚交付的毛坯房：

默认状态	风险	我们的解决方案
root 用户直接登录	权限过大，误操作后果严重	创建普通用户 + sudo
密码登录	可被暴力破解	SSH 密钥登录
默认 22 端口	被扫描器重点照顾	改为非标准端口
防火墙关闭	所有端口对外暴露	UFW 只放行必要端口
原生网络	丢包率高、延迟大	BBR 拥塞控制算法

整体流程

我们按照这个顺序来操作，每一步都会解释为什么这么做。

3、操作步骤

3.1 首次登录与系统更新

获取服务器 IP

购买 VPS 后，服务商会给你：

IP 地址：如 192.168.1.100
端口：通常是 22（有些服务商会改成其他端口）
用户名：通常是 root
密码：随机生成的一串字符

SSH 连接

Mac / Linux 用户：打开终端，直接输入：

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows 用户：

Windows 10/11 自带 OpenSSH，可以直接在 PowerShell 或 CMD 中使用上面的命令
或者使用 Termius、MobaXterm 等工具

首次连接会看到指纹确认提示：

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

这是在问你：「我不认识这台机器，你确定要连接吗？」

输入 yes 然后回车。接着输入密码（注意：输入时不会显示任何字符，这是正常的安全设计），回车。

看到类似这样的提示，说明登录成功：

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 为什么要确认指纹？
这是为了防止"中间人攻击"。首次连接时记录服务器指纹，以后连接时如果指纹变了，说明可能有人在冒充你的服务器。

初识你的服务器

登录后，先了解一下这台机器的基本情况：

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

记住这些信息，后续排查问题时会用到。

系统更新

了解完服务器信息，第一件正事是更新系统。新服务器的系统镜像可能是几个月前的，期间可能已经有安全补丁发布：

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

参数解释：

apt update：更新软件包索引
apt full-upgrade：升级所有软件，包括内核
-y：自动确认，不用手动输入 yes
apt autoremove：删除不再需要的依赖
apt autoclean：清理下载的安装包缓存

⏱️ 这一步可能需要几分钟，取决于有多少更新。中间偶尔需要确认的，基本上按它的逻辑来就好了。

检查是否需要重启

内核更新后通常需要重启才能生效：

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

如果提示需要重启：

reboot

重启后需要重新 SSH 连接。

安装常用工具

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

这些工具是干嘛的：

工具	用途
`sudo`	让普通用户执行管理员命令
`curl` / `wget`	下载文件
`git`	版本控制
`vim`	文本编辑器
`htop`	更好看的进程监控
`tree`	树形显示目录结构
`net-tools`	网络工具（ifconfig、netstat 等）
`ufw`	简单好用的防火墙
`fail2ban`	防暴力破解
`neofetch`	漂亮地显示系统信息

3.2 创建非root用户

为什么不直接用 root？

root 用户权限太大了，一个手滑 rm -rf / 就全没了。日常操作应该用普通用户，需要管理员权限时再用 sudo。

龙虾（openclaw）可是怪兽呀，咋敢把 root 给它用呢？

创建用户

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

系统会提示你设置密码和一些信息：

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

授予 sudo 权限

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

验证一下：

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

如果输出 root，说明 sudo 配置成功。

💡 小技巧
输入 exit 可以退回 root 用户。后面的操作我们继续用 root 来配置，配置完成后再切换到普通用户。

3.3 配置SSH密钥登录

密钥认证 vs 密码认证

密钥认证比密码安全得多：

密码可以被暴力破解，密钥几乎不可能
不用每次输密码，更方便
即使密码泄露，没有私钥也登不上

步骤一：本地生成密钥对

在你的电脑（不是服务器）上执行：

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

会提示：

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

直接回车使用默认路径。我们这里用了 ./ittinker ，就是表示存在当前路径下，文件名叫 ittinker

1	Enter passphrase (empty for no passphrase):

可以设置密钥密码（多一层保护），也可以直接回车留空。

生成完成后，你会在 ~/.ssh/ 目录下看到两个文件（下面是默认文件名，如果前面回车就会这样）：

id_ed25519：私钥，绝对不能泄露！
id_ed25519.pub：公钥，要上传到服务器

💡 ed25519 vs RSA
ed25519 是目前推荐的算法，比传统的 RSA 更安全、密钥更短。如果你的系统太旧不支持，可以用 ssh-keygen -t rsa -b 4096。

一个小细节，ed 25519 生成的 key 是比较小的，rsa 的文件很大，问了 AI 才知道，大小没关系，和算法有关系。

步骤二：上传公钥到服务器

方法 A：使用 ssh-copy-id（推荐）

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

输入密码后，公钥会自动复制到服务器。

方法 B：手动复制

如果 ssh-copy-id 不可用，可以手动操作：

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

复制输出的内容（一长串以 ssh-ed25519 开头的文本）。

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ 权限很重要！
SSH 对文件权限有严格要求：
.ssh 目录：700（只有用户自己能访问）
authorized_keys 文件：600（只有用户自己能读写）
权限不对的话，SSH 会拒绝使用密钥登录。

步骤三：测试密钥登录

新开一个终端窗口（保持原窗口不要关，万一配置错了还能补救），测试密钥登录：

1	ssh ittinker@你的服务器IP

如果不需要输入密码就能登录，说明密钥配置成功！🎉

（如果你给私钥设置了 passphrase，会提示输入私钥密码，这是正常的）

这里我们加了一个 -i 参数，是因为这个 key，我们不是默认路径，而是放在当前路径下，如果不指定，系统会使用默认 key。

3.4 SSH安全加固

现在密钥登录已经可以用了，我们来加固 SSH：

修改默认端口（避免被扫描）
禁用密码登录
禁止 root 直接登录

编辑 SSH 配置文件

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

找到并修改以下配置（有些可能被注释了，去掉前面的 #）：

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

保存并退出（ctrl + o）。

Nano 保存是 ctrl + o，它会给文件名，直接回车，退出就是 ctrl + x

重启 SSH 服务

1	systemctl restart sshd.service

⚠️ 重要提醒！
不要关闭当前终端！ 先在新窗口测试新配置能否正常登录：
1
ssh -p 22000 yourname@你的服务器IP
如果能登录，再关闭旧窗口。如果登不上，还可以在旧窗口里修复配置。

如果你买的是轻量服务器，大概率这个端口改不了，传统的 ECS 是可以修改的，要注意。

3.5 配置UFW防火墙

UFW（Uncomplicated Firewall）是 Ubuntu 默认的防火墙工具，配置简单但功能强大。

基本配置

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

启用防火墙

1	ufw enable

会提示：

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

输入 y 确认。

检查状态

1	ufw status verbose

23022 是我敲错了，大家按自己的实际情况来就好了

输出类似：

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

常用命令速查

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 开启BBR加速

BBR（Bottleneck Bandwidth and Round-trip propagation time）是 Google 开发的 TCP 拥塞控制算法，可以显著提升网络性能。

一键开启

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

验证是否开启

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

输出应该是：

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

输出类似：

1	tcp_bbr 20480 3

💡 BBR 的效果
开启 BBR 后，特别是在网络不稳定或高延迟的环境下，你会明显感觉到：
下载速度更快
SSH 操作更流畅
网页加载更快

3.7 配置fail2ban防暴力破解

fail2ban 会监控日志，发现多次登录失败的 IP 后自动封禁。

基本配置

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

找到 [sshd] 部分，确保以下配置：

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

启动服务

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

查看状态

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

输出类似：

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

常用命令

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [可选] SSH Config 多服务器管理

如果你有多台服务器，每次输入 ssh -p 22000 user@ip 很麻烦。可以用 SSH Config 来简化。

配置文件

在你的本地电脑上编辑 ~/.ssh/config：

1	vim ~/.ssh/config

添加配置：

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

使用方法

现在可以直接用别名连接：

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

省去了记 IP、端口、用户名的麻烦！

3.9 [可选] 仅允许Cloudflare访问

如果你的网站完全在 Cloudflare 后面，可以设置只允许 Cloudflare 的 IP 访问 80/443 端口，增加安全性。

⚠️ 注意：这个配置需要你的域名已经接入 Cloudflare CDN。

自动配置脚本

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

这个脚本会：

从 Cloudflare 官方获取最新的 IP 段
添加 UFW 规则，只允许这些 IP 访问 80/443
重新加载 UFW

设置定时更新

Cloudflare 的 IP 段可能会变化，设置每周自动更新：

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 设置时区

默认时区可能是 UTC，改成你所在的时区方便看日志：

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [可选] 配置自动安全更新

让系统自动安装安全补丁，省得每次手动操作：

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

选择「Yes」启用自动更新。

💡 这个功能会自动安装安全更新，不会自动升级到新的大版本，相对安全。

4、总结

初始化检查清单

完成以上配置后，用这个清单检查一遍：

检查项	命令	预期结果
系统已更新	`apt update && apt list --upgradable`	没有可升级的包
普通用户可 sudo	`sudo whoami`	输出 `root`
密钥登录正常	`ssh yourname@ip -p port`	无需密码登录
密码登录已禁用	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH 端口已修改	`grep Port /etc/ssh/sshd_config`	你设置的端口
防火墙已启用	`ufw status`	`Status: active`
BBR 已开启	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban 运行中	`systemctl status fail2ban`	`active (running)`
时区已设置	`timedatectl`	Asia/Shanghai 或你的时区
本地 SSH Config	`cat ~/.ssh/config`	已配置服务器别名

关键文件位置

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

安全最佳实践

定期更新系统：apt update && apt upgrade
定期检查登录日志：lastb（失败登录）、last（成功登录）
及时关注 fail2ban 封禁情况
重要配置文件修改前先备份

5、异常记录

Q1：密钥登录失败，还是要输密码？

可能原因：

权限问题（最常见）

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

公钥没有正确复制

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux 干扰（CentOS/RHEL 系统）
1
restorecon -Rv ~/.ssh

Q2：改端口后连不上了？

排查步骤：

确认新端口在防火墙中已开放：
1
ufw status | grep 你的端口
确认 SSH 配置正确：
1
grep Port /etc/ssh/sshd_config
确认 SSH 服务正在运行：
1
systemctl status sshd
如果完全连不上，用服务商的 VNC/控制台登录修复。

Q2.5：修改端口根本不生效？（云厂商轻量服务器）

现象：改了 /etc/ssh/sshd_config，重启服务后 22 端口还在，新端口没生效。

诊断方法：

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

如果输出类似：

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

说明 22 端口是由 init（PID 1）监听的，而不是 sshd 进程。

原因：部分云厂商的「轻量应用服务器」或「容器实例」的 SSH 是由平台层代理的，你服务器内部的 sshd 配置不起作用。

解决方案：

实例类型	SSH 端口修改方式
传统 ECS	修改 sshd_config ✅
轻量服务器	可能需要在云控制台修改，或根本不支持
容器实例	通常不支持修改

如果你的实例不支持改端口，其他安全措施更重要：

✅ 创建普通用户 + 禁用 root 登录
✅ SSH 密钥登录 + 禁用密码登录
✅ fail2ban 防暴力破解

这些措施做到位，安全性依然很高。

Q3：fail2ban 把我自己封了？

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4：UFW 启用后网站访问不了？

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5：执行命令提示找不到 sudo？

Debian 最小化安装可能没有 sudo，用 root 安装：

1 2	apt install sudo usermod -aG sudo ittinker

6、一键初始化脚本（熟练后使用）

如果你已经熟悉了上面的步骤，可以用这个脚本快速初始化。

⚠️ 注意：运行脚本前，先确保你已经准备好了 SSH 公钥。

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7、做完这些，安全性提升了多少？

步骤	做了什么	为什么重要
更新系统	安装最新补丁	修复已知漏洞
创建新用户	不再直接用 root	减少误操作风险
SSH 密钥	用密钥替代密码	无法被暴力破解
修改端口	躲开默认的 22	减少被扫描到的概率
禁用密码	只允许密钥登录	彻底杜绝密码攻击
禁用 root	root 不能直接登录	增加攻击难度
UFW 防火墙	只开放必要端口	减少攻击面
BBR 加速	优化网络性能	提升访问速度
fail2ban	自动封禁恶意 IP	防止持续攻击

做完这些，你的服务器安全性已经超过了 90% 的 VPS。

下一篇预告

下一篇我们来讲 SSH密钥登录配置速查，会更详细地介绍：

不同系统生成密钥的方法
多密钥管理
SSH Agent 配置
常见 SSH 客户端设置

本文最后更新：2026年1月

独立开发者工具箱系列，欢迎关注！

أول ساعة بعد استلام VPS: دليل التهيئة الكامل من الخام إلى آمن وجاهز (خلّي OpenClaw أأمن)

2026-01-21T11:51:00.000Z

الـ VPS الجديد اللي لسه اشتريته زي باب مفيش له قفل، وكل سكريبت كيدز (Script Kiddies) في الدنيا بيدقوا عليه. المقال ده هياخدك بإيدك وتقفل الباب ده بإحكام، عشان مشروعك (openclaw) ما يجريش يمين وشمال ويبوظ لك الدنيا.

0. كلام أول أيه؟

لما تشتري VPS جديد، وتاخد الـ IP والـ root password وأنت طيران من الفرحة… بعد كده؟

ناس كتير بتعمل إيه؟ بتنزل السوفتوير على طول وتبدأ ترفع المشاريع.

دي عادة خطيرة جداً.

الـ VPS بتاعك ليه عنوان IP عام (Public IP)، ومعنى كده إن أي حد في الدنيا يقدر يحاول يتصل بيه. وفي الإعدادات اللي بتيجي على طول من الشركة:

البورت (Port) مفتوح للعلن وهو 22
اسم اليوزر معروف للكل وهو root
ومفيش حاجة بتحميك غير الباسوورد

كل يوم في ملايين السكريبتات الأوتوماتيكية بتمسح رنج الـ IPs، وتحاول تكسر الباسووردات بالقوة (Brute-force). سيرفرك من أول لحظة ما يشتغل فيها، بيبقى تحت الهجوم.

عشان كده، أول حاجة لازم تعملها لما تاخد الـ VPS، مش تنزل سوفتوير، لا، ده لازم تعمل إعدادات أمان أساسية (Security Initialization).

1. إحنا هدفنا إيه؟

الهدف من المقال ده هو:

✅ إعداد وصول عن بُعد آمن: الدخول عبر مفاتيح SSH + استخدام منفذ غير افتراضي
✅ إنشاء مستخدم عادي: تجنّب استخدام root مباشرة
✅ ضبط الجدار الناري: فتح المنافذ الضرورية فقط
✅ تفعيل تسريع الشبكة: BBR لجعل شبكتك تنطلق بسرعة الصاروخ
✅ منع اختراق القوة الغاشمة: fail2ban لحظر عناوين IP الخبيثة تلقائيًا

بعد الانتهاء من هذه الخطوات، سيكون لديك VPS مبني على أساس متين، وتقدر ترتاح وتنشر عليه مختلف الخدمات وأنت مطمئن.

2. التخطيط والتفكير

ليه محتاجين نعمل كل الإعدادات دي؟

الـ VPS اللي لسه اشتريته زي بالظبط شقة لسه استلمتها “على الطوب”:

الوضع الافتراضي	المخاطرة	الحل اللي نطبقه
الدخول بحساب root	صلاحيات واسعة، أخطاء مميتة	إنشاء مستخدم عادي + sudo
الدخول بكلمة المرور	قابلية الاختراق بالـ Brute Force	الدخول بمفاتيح SSH
المنفذ الافتراضي 22	هدف رئيسي للماسحات الضوئية	تغييره لمنفذ غير قياسي
الجدار الناري مغلق	كل المنافذ مكشوفة للعالم	استخدام UFW لفتح الضروري فقط
الشبكة الأصلية	فقدان حزم عالٍ وزمن استجابة كبير	خوارزمية تحكم الازدحام BBR

الخطوات الإجمالية

راح نمشي على هذا الترتيب خطوة بخطوة، ومع كل خطوة رح نشرح ليش نسويها بهذا الشكل.

3. خطوات التنفيذ

3.1 أول دخول وتحديث النظام

جلب عنوان IP للخادم

بعد ما تشتري VPS، مزود الخدمة راح يعطيك:

عنوان IP: مثل 192.168.1.100
المنفذ (Port): عادة يكون 22 (بعض مزودي الخدمة قد يغيرونه لمنفذ آخر)
اسم المستخدم: غالباً يكون root
كلمة المرور: سلسلة عشوائية من الأحرف

الاتصال عبر SSH

لمستخدمي Mac / Linux: افتح موجه الأوامر (Terminal)، واكتب مباشرة:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

لمستخدمي Windows:

ويندوز 10/11 يأتي مدمجاً معه OpenSSH، فتقدر تستخدم نفس الأمر السابق مباشرة في PowerShell أو CMD
أو تستخدم أدوات زي Termius و MobaXterm

أول مرة تتصل فيها، رح يظهر لك تنبيه لتأكيد البصمة (Fingerprint):

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

هذا التنبيه basically بيقول لك: “أنا لا أعرف هذا الجهاز، هل أنت متأكد إنك تريد الاتصال به؟”

اكتب yes ثم اضغط Enter. بعدها اكتب كلمة المرور (انتبه: أثناء الكتابة مش رح تظهر أي أحرف على الشاشة، هذا تصميم أمان طبيعي), واضغط Enter.

إذا شفت رسالة مشابهة لهذي، معناته إنك نجحت في تسجيل الدخول:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 ليش لازم نتأكد من البصمة؟
عشان نحمي نفسنا من هجوم “الرجل في الوسط” (Man-in-the-Middle). أول ما تتصل بالخادم، سجّل بصمته. إذا تغيرت البصمة في أي مرة جاية لما تتصل، معناها أن هناك احتمال واحد يسوّي نفسه خادمك ويسرق بياناتك.

تعرّف على خادمك

أول ما تسجّل دخول، خذ لك لفة وافهم الوضع الأساسي لهالجهاز:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

احفظ هالمعلومات ببالكم، رح تحتاجونها بعدين لما تجون تحلون أي مشكلة.

تحديث النظام

خلصنا من معلومات الخادم، أول شي لازم نسويه الحين هو تحديث النظام. صورة النظام بالخادم الجديد يمكن تكون من قبل كم شهر، ومن وقتها يمكن صدرت تحديثات أمنية:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

شرح المعطيات:

apt update: تحديث فهرس الحزم (Packages)
apt full-upgrade: ترقية كل البرامج، بما فيها النواة (Kernel)
-y: تأكيد تلقائي، عشان ما تدخل “yes” يدوي
apt autoremove: حذف الاعتماديات (Dependencies) اللي صارت مو ضرورية
apt autoclean: تنظيف الكاش لحزم التثبيت اللي انزّلت

⏱️ هالخطوة ممكن تاخذ كم دقيقة، يعتمد على حجم التحديثات. أحياناً بالوسط يطلب منك تأكيد، بشكل عام بس اتبع المنطق اللي يطلبه وروح فيها.

التحقق من الحاجة لإعادة التشغيل

بعد تحديث النواة، غالباً تحتاج تسوي ريستارت عشان التغييرات تاخذ مفعولها:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

إذا طلع لك تنبيه إنه لازم ريستارت:

reboot

بعد الريستارت، لازم تعرف اتصال SSH من جديد.

تثبيت الأدوات المستخدمة بكثرة

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

وظيفة هذه الأدوات:

الأداة	الاستخدام
`sudo`	يتيح للمستخدم العادي تنفيذ أوامر المدير (admin)
`curl` / `wget`	تنزيل الملفات
`git`	التحكم في الإصدارات (Version Control)
`vim`	محرر نصوص
`htop`	مراقب عمليات (Process Monitor) أجمل وأسهل
`tree`	عرض هيكل المجلدات على شكل شجرة
`net-tools`	أدوات شبكة (مثل ifconfig و netstat وغيرها)
`ufw`	جدار حماية (Firewall) بسيط وسهل الاستخدام
`fail2ban`	حماية من هجمات التخمين العنيف (Brute-force)
`neofetch`	عرض معلومات النظام بشكل أنيق

3.2 إنشاء مستخدم غير root

ليه ما نستخدمش root بشكل مباشر؟

صلاحيات مستخدم root كبيرة جداً، ولو زلّت يدك بـ rm -rf / ممكن تودي كل حاجة في لحظة. المفروض في الاستخدام اليومي تعتمد على مستخدم عادي، ولما تحتاج صلاحيات المدير تستخدم sudo.

openclaw ده وحش بجد، إزاي نجرؤ نسيبه يستخدم root؟

إنشاء المستخدم

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

النظام هيطلب منك تعين كلمة المرور وتدخل شوية معلومات:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

منح صلاحيات sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

نتأكد من نجاحها:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

لو النتيجة root، يبقى تم ضبط sudo بنجاح.

💡 نصيحة صغيرة
تقدر ترجع لمستخدم root عن طريق كتابة exit. في الخطوات الجاية هنكمل الإعداد باستخدام root، وبعد ما نخلص نرجع للمستخدم العادي.

3.3 ضبط تسجيل الدخول بمفتاح SSH

المصادقة بالمفتاح مقابل المصادقة بكلمة المرور

المصادقة بالمفتاح أمن بكتير من كلمة المرور:

كلمة المرور ممكن تتكسر بالـ Brute Force، لكن المفتاح ده مستحيل تقريباً
مش هتحط كلمة المرور كل مرة، فأسهل وأسرع
حتى لو اتسرقت كلمة المرور، من غير المفتاح الخاص مينقدرش يسجل دخول

الخطوة الأولى: توليد زوج المفاتيح على جهازك المحلي

نفّذ الأمر ده على جهازك (مش السيرفر):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

هيطلب منك:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

اضغط Enter على طول عشان تستخدم المسار الافتراضي. إحنا هنا استخدمنا ./ittinker ، يعني الملف هيتبلش في المسار الحالي واسمه ittinker

1	Enter passphrase (empty for no passphrase):

تقدر تضع كلمة مرور للمفتاح (طبقة حماية زيادة)، أو تضغط Enter على طول وتسيبه فاضي.

بعد ما يخلص التوليد، هتلاقي ملفين في مجلد ~/.ssh/ (دي الأسماء الافتراضية، لو ضغطت Enter قبل كده هيكونوا بالشكل ده):

id_ed25519: المفتاح الخاص، إياك يفشخ ولا يتسرب!
id_ed25519.pub: المفتاح العام، ده اللي لازم ترفعه على السيرفر

💡 ed25519 مقابل RSA
ed25519 هو الخوارزمية الموصى بيها حالياً، أكثر أماناً من RSA التقليدي ومفتاحه أقصر. لو نظامك قديم شوية وما بيدعمهوش، تقدر تستخدم ssh-keygen -t rsa -b 4096.

تفصيلة صغيرة، المفتاح اللي بيولّده ed25519 صغير حجمه، أما بتاع rsa فملفه كبير أوي، سألت الـ AI عرفت إن الحجم مالهوش علاقة، الموضوع كله بيعتمد على الخوارزمية نفسها.

الخطوة التانية: ارفع المفتاح العام على السيرفر

الطريقة الأولى: استخدام ssh-copy-id (الموصى بيها)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

بعد ما تدخل كلمة المرور، المفتاح العام هيتنسخ على السيرفر أوتوماتيك.

الطريقة التانية: النسخ اليدوي

لو ssh-copy-id مش متاح، تقدر تعملها يدويًا:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

انسخ الناتج (سلسلة طويلة من النص تبدأ بـ ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ الصلاحيات مهمة جدًا!
SSH صارم جدًا بخصوص صلاحيات الملفات:
مجلد .ssh: 700 (المستخدم بس اللي يقدر يدخله)
ملف authorized_keys: 600 (المستخدم بس اللي يقدر يقرأه ويكتب فيه)
لو الصلاحيات مش صحيحة، SSH رح يرفض تسجيل الدخول بالمفتاح.

الخطوة الثالثة: اختبار تسجيل الدخول بالمفتاح

افتح نافذة Terminal جديدة (سيب النافذة القديمة مفتوحة، عشان لو في أي غلطة تقدر ترجع وتعدلها)، وجرّب تسجيل الدخول بالمفتاح:

1	ssh ittinker@你的服务器IP

لو قدرت تسجل دخول من غير ما تكتب باسوورد، يبقى المفتاح اشتغل تمام! 🎉

(لو حطيت passphrase للمفتاح الخاص، رح يطلب منك باسوورد المفتاح، وده شيء طبيعي)

هنا ضفنا بارامتر ‎-i‎، لأن المفتاح ده مش في المسار الافتراضي، إحنا حطينه في المسار الحالي. لو ما حددناه، النظام هيستخدم المفتاح الافتراضي.

3.4 تقوية أمان SSH

دلوقتي تسجيل الدخول بالمفتاح شغال، يلا نشدّد أمان SSH:

غيّر البورت الافتراضي (عشان تتجنب السكان)
أوقف تسجيل الدخول بالباسوورد
امنع الدخول المباشر بحساب root

تعديل ملف إعدادات SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

ابحث عن الإعدادات التالية وقم بتعديلها (بعضها قد يكون مُعلّمًا كتعليق، فقط احذف # من أمامها):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

احفظ الملف واخرج (ctrl + o).

للحفظ في Nano اضغط ctrl + o، سيطلب منك تأكيد اسم الملف، اضغط Enter مباشرة، وللخروج اضغط ctrl + x

إعادة تشغيل خدمة SSH

1	systemctl restart sshd.service

⚠️ تذكير مهم!
لا تغلق نافذة الطرفية الحالية! أولاً، اختبر الإعدادات الجديدة في نافذة جديدة للتأكد من إمكانية تسجيل الدخول بشكل طبيعي:
1
ssh -p 22000 yourname@你的服务器IP
إذا نجح تسجيل الدخول، حينها يمكنك إغلاق النافذة القديمة. أما إذا لم تتمكن من الدخول، فلا تزال لديك الفرصة لإصلاح الإعدادات من النافذة القديمة.

إذا كنت قد اشتريت خادمًا خفيفًا (Light Server)، فغالبًا لن تتمكن من تغيير هذا المنفذ، بينما خوادم ECS التقليدية تسمح بتعديله، انتبه لهذه النقطة.

3.5 إعداد جدار حماية UFW

UFW (Uncomplicated Firewall) هو أداة جدار الحماية الافتراضية في Ubuntu، إعداداتها بسيطة لكنها قوية جدًا.

الإعدادات الأساسية

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

تفعيل جدار الحماية

1	ufw enable

ستظهر لك رسالة:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

اكتب y للتأكيد.

التحقق من الحالة

1	ufw status verbose

23022 كان خطأ مطبعي مني، اعتمدوا على وضعكم الفعلي وخلاص

المخرجات ستكون شبيهة بـ:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

مرجع سريع للأوامر الشائعة

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 تفعيل تسريع BBR

BBR (اختصار لـ Bottleneck Bandwidth and Round-trip propagation time) هو خوارزمية تحكم في ازدحام TCP طوّرتها Google، ويمكنها تحسين أداء الشبكة بشكل ملحوظ.

التفعيل بنقرة واحدة

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

التحقق من التفعيل

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

المخرجات المتوقعة:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

المخرجات ستكون شبيهة بـ:

1	tcp_bbr 20480 3

💡 تأثير BBR
بعد تفعيل BBR، خصوصًا في البيئات غير المستقرة أو ذات زمن الاستجابة العالي، ستلاحظ بوضوح:
سرعة تحميل أسرع
عمليات SSH أكثر سلاسة
تحميل أسرع لصفحات الويب

3.7 إعداد fail2ban للحماية من محاولات الاختراق بالقوة

fail2ban راح يراقب ملفات السجلات (logs)، وأول ما يلاحظ IP فشل في تسجيل الدخول عدة مرات، راح يحظره تلقائيًا.

الإعداد الأساسي

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

ابحث عن قسم [sshd]، وتأكد من الإعدادات التالية:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

تشغيل الخدمة

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

التحقق من الحالة

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

المخرجات ستكون مشابهة لـ:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

أوامر شائعة

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [اختياري] إدارة عدة خوادم عبر SSH Config

لو عندك أكتر من خادم، كل مرة تكتب ssh -p 22000 user@ip هتبقى مزعجة. تقدر تبسط الموضوع باستخدام SSH Config.

ملف الإعدادات

على جهازك المحلي قم بتعديل ~/.ssh/config:

1	vim ~/.ssh/config

أضف الإعدادات التالية:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

طريقة الاستخدام

دلوقتي تقدر تتصل مباشرة باستخدام الاسم المستعار:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

ودي بتعفيك من حفظ الـ IP والبورت واسم المستخدم في كل مرة!

3.9 [اختياري] السماح لـ Cloudflare فقط بالوصول

لو موقعك شغال بالكامل خلف Cloudflare، تقدر تظبط الإعدادات عشان تسمح بس لـ IP بتاع Cloudflare يوصل لبورتات 80/443، وده هيزود الأمان.

⚠️ ملاحظة: الإعداد ده بيتطلب يكون دومينك متوصّل بالفعل على Cloudflare CDN.

سكربت الإعداد التلقائي

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

السكربت ده هيقوم بـ:

جلب أحدث نطاقات IP الرسمية من Cloudflare
إضافة قواعد UFW للسماح فقط لهذه الـ IP بالوصول إلى المنفذين 80/443
إعادة تحميل UFW

ضبط التحديث التلقائي

نطاقات IP الخاصة بـ Cloudflare قد تتغير مع الوقت، لذا خلي النظام يسحبها ويحدّثها تلقائياً كل أسبوع:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 ضبط المنطقة الزمنية

غالباً المنطقة الزمنية الافتراضية تكون UTC، فالأفضل تغييرها لمنطقتك عشان تقدر تقرأ السجلات (Logs) بكل راحة:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [اختياري] تفعيل التحديثات الأمنية التلقائية

خلِّ النظام يركّب التحصينات الأمنية لوحده، وريّح راسك من التدخل اليدوي في كل مرة:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

اختار “Yes” عشان تفعيل التحديث التلقائي.

💡 الميزة دي بتركّب التحديثات الأمنية بشكل تلقائي، لكنها ما بترقّيك لإصدار رئيسي جديد، فاعتمد عليها وأنت مطمن.

4. الخلاصة

قائمة التحقق النهائية

بعد ما تخلص كل اللي فوق، مرّر على القائمة دي عشان تتأكد إن كل شيء تمام:

عنصر الفحص	الأمر	النتيجة المتوقعة
النظام محدّث	`apt update && apt list --upgradable`	لا توجد حزم للترقية
المستخدم العادي يستطيع استخدام sudo	`sudo whoami`	المخرجات `root`
تسجيل الدخول بالمفتاح يعمل	`ssh yourname@ip -p port`	الدخول بدون كلمة مرور
تسجيل الدخول بكلمة المرور معطّل	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
منفذ SSH تم تغييره	`grep Port /etc/ssh/sshd_config`	المنفذ الذي حددته
الجدار الناري مفعّل	`ufw status`	`Status: active`
BBR مفعّل	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban يعمل	`systemctl status fail2ban`	`active (running)`
المنطقة الزمنية مضبوطة	`timedatectl`	Asia/Shanghai أو منطقتك الزمنية
إعدادات SSH المحلية	`cat ~/.ssh/config`	تم ضبط اسم مستعار للخادم

مواقع الملفات المهمة

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

أفضل ممارسات الأمان

تحديث النظام بانتظام: apt update && apt upgrade
مراجعة سجلات تسجيل الدخول دوريًا: lastb (محاولات الدخول الفاشلة)، last (محاولات الدخول الناجحة)
متابعة حالات الحظر في fail2ban أولاً بأول
النسخ الاحتياطي قبل تعديل أي ملف إعدادات مهم

5. سجل الأخطاء والمشاكل

س1: فشل تسجيل الدخول بالمفتاح، ولا يزال يطلب كلمة المرور؟

الأسباب المحتملة:

مشكلة في الصلاحيات (الأكثر شيوعاً)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

لم يتم نسخ المفتاح العام بشكل صحيح

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

تدخل SELinux (في أنظمة CentOS/RHEL)
1
restorecon -Rv ~/.ssh

س2: بعد تغيير المنفذ لم تعد قادراً على الاتصال؟

خطوات التشخيص:

تأكد من أن المنفذ الجديد مفتوح في الجدار الناري:
1
ufw status | grep 你的端口
تأكد من أن إعدادات SSH صحيحة:
1
grep Port /etc/ssh/sshd_config
تأكد من أن خدمة SSH قيد التشغيل:
1
systemctl status sshd
إذا لم تستطع الاتصال إطلاقاً، استخدم VNC/لوحة التحكم الخاصة بمزود الخدمة لتسجيل الدخول وإصلاح المشكلة.

س2.5: تغيير المنفذ لا يطبق إطلاقاً؟ (الخوادم السحابية الخفيفة)

الظاهرة: قمت بتغيير /etc/ssh/sshd_config، وبعد إعادة تشغيل الخدمة بقي المنفذ 22 يعمل، والمنفذ الجديد لم يُطبّق.

طريقة التشخيص:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

إذا كان المخرج مشابهاً لـ:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

هذا يعني أن المنفذ 22 يُستمع إليه بواسطة init (PID 1)، وليس بواسطة عملية sshd.

السبب: في بعض مزودي الخدمات السحابية، الـ SSH في «خوادم التطبيقات الخفيفة» أو «حاويات الـ instances» يتم إدارته عبر بروكسي على مستوى المنصة، وبالتالي إعدادات sshd داخل خادمك ما رح تنفع ولن تعمل.

الحل:

نوع الـ instance	طريقة تعديل منفذ SSH
ECS تقليدي	تعديل sshd_config ✅
خادم خفيف	ممكن تحتاج تعدله من لوحة تحكم السحابة، أو إنه ما يدعم التعديل إطلاقاً
حاوية (Container instance)	عادةً ما يدعم التعديل

إذا كان الـ instance بتاعك ما يدعم تغيير المنفذ، تدابير الأمان الأخرى تصبح أهم بكثير:

✅ إنشاء مستخدم عادي + تعطيل تسجيل الدخول عبر root
✅ تسجيل الدخول للـ SSH بمفتاح (Key) + تعطيل الدخول بكلمة المرور
✅ fail2ban للحماية من محاولات الاختراق العنيفة (Brute-force)

لو طبقت هذي الإجراءات صح، مستوى الأمان بتاعك لسه عالي جداً.

س3: fail2ban حظرني أنا؟

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

س4: بعد تفعيل UFW ما قدرت أدخل على الموقع؟

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

س5: لما شغّلت أمر قال إنه ما يقدر يلاقي sudo؟

تثبيت Debian المصغّر (Minimal) ممكن ما يكون فيه sudo، سجّل دخولك كـ root وثبّته:

1 2	apt install sudo usermod -aG sudo ittinker

6. سكربت تهيئة بضغطة واحدة (استخدمه بعد ما تعتاد على الخطوات)

إذا صرت تعرف الخطوات اللي فوق كويس، تقدر تستخدم هذا السكربت عشان تعمل تهيئة (Initialization) بسرعة.

⚠️ ملاحظة: قبل تشغيل السكريبت، تأكد أولاً أنك جهّزت مفتاح SSH العام.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. بعد كل ده، الأمان اتحسّن قد إيه؟

الخطوة	عملنا إيه	ليه مهم
تحديث النظام	تثبيت أحدث التحديثات	إصلاح الثغرات المعروفة
إنشاء مستخدم جديد	بطلنا نستخدم root مباشرة	تقليل مخاطر الأخطاء البشرية
مفاتيح SSH	استبدلنا الباسورد بمفاتيح	مستحيل يتخترق بالـ brute-force
تغيير البورت	بعدنا عن بورت 22 الافتراضي	تقليل فرصة إن السيرفر يتمسح
تعطيل الباسورد	ال登录 بالمفتاح بس	قفل باب هجمات الباسورد نهائياً
تعطيل root	root مابيقدرش يدخل مباشرة	تصعيب المهمة على الهاكرز
جدار حماية UFW	فتحنا البورتات اللازمة بس	تقليل مساحة الهجوم
تسريع BBR	تحسين أداء الشبكة	رفع سرعة الوصول
fail2ban	حظر تلقائي للـ IPs الخبيثة	منع الهجمات المستمرة

بعد كل ده، أمان سيرفرك بقى أحسن من 90% من الـ VPSs اللي موجودة.

إشعار للمقال الجاي

في المقال الجاي هنتكلم عن مرجع سريع لإعداد ال登录 بمفاتيح SSH، وهنشرح بالتفصيل:

طرق توليد المفاتيح على أنظمة تشغيل مختلفة
إدارة أكتر من مفتاح
إعداد SSH Agent
إعدادات عملاء SSH الشائعة

آخر تحديث لهذا المقال: يناير 2026

سلسلة صندوق أدوات المطوّر المستقل، تابعنا!

Deine erste Stunde mit dem VPS: Komplette Einrichtung von nacktem Server bis sicher nutzbar (mach dein OpenClaw sicherer)

2026-01-21T11:51:00.000Z

Ein frisch gekaufter VPS ist wie eine unverschlossene Tür, an die weltweit Script-Kids klopfen. Dieser Artikel zeigt dir, wie du die Tür sicher verriegelst. Damit dein „openclaw“ nicht unkontrolliert herumstromert.

0. Vorab

Du hast dir gerade einen VPS gekauft, hast voller Vorfreude die IP und das root-Passwort in der Hand – und jetzt?

Die meisten machen dann einfach das: Direkt Software installieren und das Projekt deployen.

Das ist ein gefährlicher Reflex.

Dein VPS hat eine öffentliche IP-Adresse. Das bedeutet, dass jeder Mensch auf der ganzen Welt versuchen kann, sich dorthin zu verbinden. Und in der Standardkonfiguration gilt:

Der Port 22 ist öffentlich zugänglich
Der Benutzername ist das allseits bekannte root
Ein einziges Passwort schützt dich noch

Jeden Tag scannen unzählige automatisierte Skripte ganze IP-Blöcke und versuchen mit gängigen Passwörtern, per Brute-Force einzudringen. Dein Server wird ab der ersten Sekunde nach dem Hochfahren bereits angegriffen.

Deshalb lautet die goldene Regel: Das Allererste nach dem VPS-Kauf ist nicht die Software-Installation, sondern die Sicherheits-Grundeinrichtung.

1. Unser Ziel

Das Ziel dieses Artikels ist:

✅ Sicheren Remote-Zugang einrichten: SSH-Login mit Keys + abweichender Port
✅ Einen normalen User anlegen: Nicht direkt als root arbeiten
✅ Firewall konfigurieren: Nur wirklich nötige Ports aufmachen
✅ Netzwerk-Boost aktivieren: Mit BBR richtig Gas geben
✅ Brute-Force-Angriffen vorbeugen: fail2ban bannt böswillige IPs automatisch

Wenn du das alles durch hast, steht dein VPS auf einem soliden Fundament und du kannst da beruhigt deine Dienste deployen.

2. Planung & Gedanken

Warum diese Konfiguration?

Ein frisch gekaufter VPS ist wie eine nagelneue Wohnung im Rohbau:

Standardzustand	Risiko	Unsere Lösung
Direkter Login als root	Zu hohe Rechte, fatal bei Fehlern	Normaler User + sudo
Login per Passwort	Anfällig für Brute-Force-Angriffe	SSH-Key-Login
Standard-Port 22	Liegt im Fokus von Scannern	Nicht-Standard-Port
Firewall aus	Alle Ports nach außen offen	UFW: Nur nötige Ports durchlassen
Natives Netzwerk	Hoher Paketverlust, hohe Latenz	BBR Congestion Control

Der grobe Ablauf

Wir gehen genau in dieser Reihenfolge vor, und ich erkläre dir bei jedem Schritt, warum wir das eigentlich machen.

3. Los geht’s: Schritt-für-Schritt

Server-IP besorgen

Sobald du deinen VPS gekauft hast, schickt dir der Anbieter:

IP-Adresse: z. B. 192.168.1.100
Port: Meistens 22 (manche Provider nutzen abweichende Ports)
Benutzername: In der Regel root
Passwort: Ein zufällig generierter String

SSH-Verbindung

Mac / Linux-User: Öffne das Terminal und tippe einfach Folgendes ein:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows-User:

Windows 10/11 bringt OpenSSH direkt mit, du kannst den Befehl oben also einfach in PowerShell oder CMD nutzen
Oder du greifst auf Tools wie Termius oder MobaXterm zurück

Beim ersten Verbinden poppt die Abfrage zum Bestätigen des Fingerprints auf:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Das System fragt dich im Prinzip: „Ich kenne diesen Rechner nicht – willst du dich wirklich verbinden?“

Tippe yes ein und drück Enter. Danach kommt das Passwort (Achtung: Bei der Eingabe wird nichts angezeigt, das ist normale Sicherheitsarchitektur), dann wieder Enter.

Wenn du einen Prompt in dieser Art siehst, hast du dich erfolgreich eingeloggt:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Wozu eigentlich den Fingerprint checken?
Das schützt dich vor sogenannten Man-in-the-Middle-Angriffen. Beim allerersten Login speicherst du den Fingerprint des Servers ab. Wenn der bei einer späteren Verbindung plötzlich anders aussieht, ist das ein Warnsignal – vielleicht versucht da jemand, sich als dein Server auszugeben.

Lern deinen Server kennen

Nach dem Login schauen wir uns erst mal an, auf welchem Gerät du da eigentlich gelandet bist:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Merke dir diese Infos, das wird dir später bei der Fehlersuche extrem helfen.

System-Update

Jetzt, wo du weißt, wo du stehst, ist die erste echte Aufgabe: Bring das System auf den neuesten Stand. Das Image auf einem frischen Server ist oft schon ein paar Monate alt, und da zwischendurch bestimmt ein paar Sicherheits-Patches veröffentlicht wurden:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Was die Parameter bedeuten:

apt update: Aktualisiert den Paket-Index
apt full-upgrade: Zieht alle Updates für die Software – inklusive des Kernels
-y: Bestätigt automatisch, du musst also nicht ständig “yes” eintippen
apt autoremove: Räumt nicht mehr benötigte Abhängigkeiten auf
apt autoclean: Leert den Cache der heruntergeladenen Installationspakete

⏱️ Dieser Schritt kann ein paar Minuten dauern, je nachdem, wie viele Updates anstehen. Wenn zwischendurch mal eine Bestätigung verlangt wird, einfach bestätigen und mitlaufen lassen.

Checken, ob ein Reboot nötig ist

Nach einem Kernel-Update musst du den Server meistens einmal neu starten, damit alles greift:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Wenn da steht, dass ein Neustart fällig ist:

reboot

Nach dem Reboot loggst du dich einfach per SSH wieder ein.

Nützliche Tools installieren

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Wofür du diese Tools brauchst:

Tool	Zweck
`sudo`	Normale Nutzer lassen Admin-Befehle ausführen
`curl` / `wget`	Dateien herunterladen
`git`	Versionskontrolle
`vim`	Texteditor
`htop`	Schickere Prozessüberwachung
`tree`	Verzeichnisstruktur als Baum anzeigen
`net-tools`	Netzwerk-Tools (ifconfig, netstat etc.)
`ufw`	Simple und handliche Firewall
`fail2ban`	Schutz gegen Brute-Force-Angriffe
`neofetch`	Systeminfos schön aufbereitet

3.2 Einen Nicht-root-Benutzer anlegen

Warum nicht direkt root nutzen?

Der root-User hat einfach viel zu viele Rechte – ein kleiner Tippfehler rm -rf / und alles ist weg. Für den Alltag nimmst du besser einen normalen User. Wenn du mal Admin-Rechte brauchst, holst du dir die einfach mit sudo.

Der Lobster (openclaw) ist ein echtes Monster – dem würdest du doch auch nicht einfach root geben, oder?

Benutzer anlegen

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Das System fragt dich jetzt nach einem Passwort und ein paar weiteren Infos:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

sudo-Rechte vergeben

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Kurz testen:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Wenn root als Ausgabe erscheint, hast du sudo erfolgreich eingerichtet.

💡 Pro-Tipp
Mit exit springst du direkt zurück zum root-User. Für die nächsten Schritte bleiben wir erstmal im root-Kontext und richten alles ein. Danach wechseln wir wieder zum normalen User.

Key-Authentifizierung vs. Passwort-Authentifizierung

Key-Login ist deutlich sicherer als ein Passwort:

Passwörter lassen sich bruteforcen, Keys quasi gar nicht
Du musst nicht jedes Mal ein Passwort tippen – viel bequemer
Selbst wenn dein Passwort geleakt wird, kommt ohne den privaten Key trotzdem niemand rein

Schritt 1: Schlüsselpaar lokal generieren

Führe das auf deinem Rechner aus (nicht auf dem Server):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Dann erscheint folgende Abfrage:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Einfach mit Enter bestätigen, um den Standardpfad zu übernehmen. Wir verwenden hier ./ittinker – das bedeutet, die Datei wird im aktuellen Verzeichnis unter dem Namen ittinker gespeichert.

1	Enter passphrase (empty for no passphrase):

Du kannst noch ein Passwort für den Key vergeben (für eine extra Sicherheitsschicht) oder einfach leer lassen und Enter drücken.

Wenn der Schlüssel generiert ist, findest du im Verzeichnis ~/.ssh/ zwei Dateien (hier mit den Standardnamen, sofern du vorher einfach Enter gedrückt hast):

id_ed25519: Der private Schlüssel – den darfst du auf keinen Fall weitergeben!
id_ed25519.pub: Der öffentliche Schlüssel – der muss auf den Server hochgeladen werden

💡 ed25519 vs. RSA
ed25519 ist der aktuell empfohlene Algorithmus – sicherer und mit kürzeren Keys als das klassische RSA. Falls dein System zu alt ist und ihn nicht unterstützt, kannst du ssh-keygen -t rsa -b 4096 nutzen.

Ein kleiner Nebenaspekt: Ein ed25519-Key ist recht klein, während RSA-Dateien ziemlich groß werden. Hab mal eine KI gefragt – die Größe spielt keine Rolle, das liegt einfach an der Art des Algorithmus.

Schritt 2: Den öffentlichen Schlüssel auf den Server laden

Variante A: Mit ssh-copy-id (empfohlen)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Nachdem du dein Passwort eingegeben hast, wird der öffentliche Schlüssel automatisch auf den Server kopiert.

Variante B: Manuell kopieren

Falls ssh-copy-id nicht klappt, kannst du das auch manuell machen:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Kopiere die Ausgabe (ein langer Text, der mit ssh-ed25519 beginnt).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Berechtigungen sind extrem wichtig!
SSH ist da sehr streng mit den Dateirechten:
.ssh Verzeichnis: 700 (nur du selbst hast Zugriff)
authorized_keys Datei: 600 (nur du selbst kannst lesen und schreiben)
Wenn die Rechte nicht stimmen, verweigert SSH den Login mit dem Key.

Öffne ein neues Terminal-Fenster (lass das alte offen, falls du was vermasselst hast du noch ein Backup), und test den Key-Login:

1	ssh ittinker@你的服务器IP

Wenn du dich jetzt ohne Passwort einloggen kannst, hast du es geschafft! 🎉

(Falls du für deinen Private Key eine Passphrase vergeben hast, wird er nach dem Key-Passwort fragen – das ist völlig normal)

Wir haben hier den Parameter -i drangehängt, weil dieser Key nicht im Standard-Pfad liegt, sondern im aktuellen Verzeichnis. Wenn wir das nicht angeben, nimmt das System einfach den Default-Key.

3.4 SSH absichern

Jetzt, wo der Key-Login läuft, bringen wir SSH auf Vordermann:

Den Standard-Port ändern (schützt vor automatischen Scans)
Passwort-Login deaktivieren
Direkten Root-Login verbieten

SSH-Konfigurationsdatei bearbeiten

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Suche die folgenden Einstellungen und passe sie an (einige davon sind vielleicht auskommentiert – entferne einfach das # davor):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Speichern und beenden (ctrl + o).

Bei Nano speicherst du mit Strg + O. Er fragt dann nach dem Dateinamen – einfach Enter drücken. Zum Beenden drückst du Strg + X.

SSH-Dienst neu starten

1	systemctl restart sshd.service

⚠️ Wichtiger Hinweis!
Schließ nicht sofort dein aktuelles Terminal! Teste zuerst in einem neuen Fenster, ob du dich mit der neuen Konfiguration problemlos einloggen kannst:
1
ssh -p 22000 yourname@你的服务器IP
Wenn das klappt, kannst du das alte Fenster schließen. Wenn du dich nicht einloggen kannst, kannst du die Konfiguration im noch offenen alten Fenster ganz entspannt reparieren.

Wenn du einen Lightweight-Server gemietet hast, lässt sich dieser Port meistens nicht ändern. Bei klassischen ECS-Instanzen klappt das hingegen problemlos – pass also gut auf, was du da hast.

3.5 UFW-Firewall einrichten

UFW (Uncomplicated Firewall) ist das Standard-Firewall-Tool von Ubuntu. Super einfach zu konfigurieren, aber trotzdem richtig mächtig.

Grundkonfiguration

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Firewall aktivieren

1	ufw enable

Dann kommt diese Abfrage:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Tippe y ein, um zu bestätigen.

Status prüfen

1	ufw status verbose

23022 war ein Tippfehler von mir – passt das einfach an eure eigenen Gegebenheiten an

Die Ausgabe sieht dann ungefähr so aus:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Befehle zum schnellen Nachschlagen

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 BBR-Beschleunigung aktivieren

BBR (Bottleneck Bandwidth and Round-trip propagation time) ist ein von Google entwickelter TCP-Staukontroll-Algorithmus, der die Netzwerkleistung spürbar verbessern kann.

Mit einem Klick aktivieren

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Prüfen, ob es aktiv ist

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Die Ausgabe sollte so aussehen:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Ausgabe ungefähr so:

1	tcp_bbr 20480 3

💡 Die Wirkung von BBR
Nach der Aktivierung von BBR wirst du besonders bei instabilen Verbindungen oder hoher Latenz deutlich merken:
Downloads sind schneller
SSH-Sitzungen laufen flüssiger
Seiten laden schneller

3.7 fail2ban einrichten gegen Brute-Force-Angriffe

fail2ban überwacht deine Logs und bannt IPs automatisch, die zu oft erfolglos versucht haben, sich anzumelden.

Grundkonfiguration

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Such den Bereich [sshd] und stell sicher, dass folgende Einstellungen drinstehen:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Dienst starten

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Status prüfen

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Die Ausgabe sieht ungefähr so aus:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Häufige Befehle

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Optional] Mehrere Server mit SSH Config verwalten

Wenn du mehrere Server hast, ist es super nervig, jedes Mal ssh -p 22000 user@ip einzutippen. Mit SSH Config kannst du dir das Leben leichter machen.

Konfigurationsdatei

Bearbeite ~/.ssh/config auf deinem lokalen Rechner:

1	vim ~/.ssh/config

Füge folgende Konfiguration hinzu:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Verwendung

Jetzt kannst du dich direkt über den Alias verbinden:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Kein IP-, Port- oder Benutzernamen-Merkschema mehr nötig!

3.9 [Optional] Zugriff nur über Cloudflare erlauben

Wenn deine Website komplett hinter Cloudflare läuft, kannst du die Ports 80/443 so einstellen, dass nur noch Cloudflare-IPs Zugriff haben. Das bringt extra Sicherheit.

⚠️ Achtung: Für diese Konfiguration muss deine Domain bereits im Cloudflare CDN eingebunden sein.

Automatisches Konfigurationsskript

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Dieses Skript macht Folgendes:

Hol dir die aktuellsten IP-Subnetze direkt von Cloudflare
Füge UFW-Regeln hinzu, damit nur noch diese IPs auf Port 80/443 zugreifen dürfen
Lade UFW neu

Geplantes Update einrichten

Die IP-Subnetze von Cloudflare können sich mal ändern. Richten wir also ein wöchentliches Auto-Update ein:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Zeitzone einstellen

Standardmäßig ist wahrscheinlich UTC eingestellt. Stell das auf deine eigene Zeitzone um, dann lassen sich Logs viel leichter lesen:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Optional] Automatische Sicherheitsupdates einrichten

Lass das System Sicherheits-Patches automatisch installieren, dann musst du nicht jedes Mal per Hand ran:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Wähl hier „Yes", um die automatischen Updates zu aktivieren.

💡 Die Funktion installiert automatisch Sicherheitsupdates, führt aber kein Upgrade auf eine ganz neue Major-Version durch. Ist also relativ sicher.

4. Zusammenfassung

Checkliste für die Initialisierung

Wenn du mit der ganzen Konfiguration durch bist, geh diese Checkliste nochmal durch:

Checkpunkt	Befehl	Erwartetes Ergebnis
System ist aktuell	`apt update && apt list --upgradable`	Keine aktualisierbaren Pakete
Normaler User kann sudo	`sudo whoami`	Ausgabe von `root`
Key-Login funktioniert	`ssh yourname@ip -p port`	Login ohne Passwort
Passwort-Login deaktiviert	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH-Port geändert	`grep Port /etc/ssh/sshd_config`	Dein selbst festgelegter Port
Firewall aktiv	`ufw status`	`Status: active`
BBR aktiviert	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban läuft	`systemctl status fail2ban`	`active (running)`
Zeitzone gesetzt	`timedatectl`	Asia/Shanghai oder deine Zeitzone
Lokale SSH-Config	`cat ~/.ssh/config`	Server-Alias eingerichtet

Wichtige Dateipfade

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Security Best Practices

System regelmäßig updaten: apt update && apt upgrade
Login-Logs regelmäßig checken: lastb (fehlgeschlagene Logins), last (erfolgreiche Logins)
fail2ban-Bans im Blick behalten
Vor Änderungen an wichtigen Config-Dateien immer ein Backup machen

5. Troubleshooting-Log

Mögliche Ursachen:

Berechtigungsproblem (häufigster Fall)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Public Key wurde nicht richtig kopiert

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux macht Ärger (bei CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: Nach dem Port-Wechsel keine Verbindung mehr?

Fehlersuche Schritt für Schritt:

Stell sicher, dass der neue Port in der Firewall freigegeben ist:
1
ufw status | grep 你的端口
Prüf, ob die SSH-Konfiguration stimmt:
1
grep Port /etc/ssh/sshd_config
Geh sicher, dass der SSH-Dienst läuft:
1
systemctl status sshd
Wenn gar nichts mehr geht, logg dich über die VNC-Konsole deines Anbieters ein und reparier es.

Q2.5: Der Port-Wechsel zieht gar nicht erst? (Cloud-Anbieter Lite-Server)

Symptom: Du hast /etc/ssh/sshd_config geändert, aber nach dem Neustart des Dienstes lauscht er immer noch auf Port 22 und der neue Port will nicht.

Diagnose:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Wenn die Ausgabe in etwa so aussieht:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

dann lauscht auf Port 22 init (PID 1) und nicht etwa der sshd-Prozess.

Warum? Bei einigen Cloud-Anbietern wird der SSH-Zugang bei „Lightweight Servern“ oder „Container-Instanzen über die Plattform-Ebene proxied. Deine interne sshd-Konfiguration auf dem Server wird dann komplett ignoriert.

Die Lösung:

Instanztyp	SSH-Port ändern
Klassische ECS	sshd_config anpassen ✅
Lightweight Server	Eventuell nur über das Cloud-Dashboard änderbar oder gar nicht unterstützt
Container-Instanzen	Änderung in der Regel nicht unterstützt

Wenn deine Instanz den Port-Wechsel nicht unterstützt, sind andere Sicherheitsmaßnahmen umso wichtiger:

✅ Einen normalen User anlegen + root-Login deaktivieren
✅ Login per SSH-Key + Passwort-Login deaktivieren
✅ fail2ban gegen Brute-Force-Angriffe

Wenn du diese Punkte sauber umsetzt, ist dein System trotzdem richtig gut abgesichert.

Q3: fail2ban hat mich selbst ausgesperrt?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Nach dem Aktivieren von UFW ist die Website nicht mehr erreichbar?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: Beim Ausführen von Befehlen kommt „sudo nicht gefunden“?

Bei einer minimalen Debian-Installation fehlt sudo oft. Installiere es einfach als root:

1 2	apt install sudo usermod -aG sudo ittinker

6. Ein-Klick-Init-Skript (für Fortgeschrittene)

Wenn du die obigen Schritte schon draufhast, kannst du mit diesem Skript dein Setup im Handumdrehen initialisieren.

⚠️ Achtung: Bevor du das Skript losjagst, stell sicher, dass dein SSH-Public-Key schon fertig ist.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Wie viel sicherer ist dein Server jetzt eigentlich?

Schritt	Was du gemacht hast	Warum es wichtig ist
System geupdatet	Neueste Patches installiert	Bekannte Lücken gestopft
Neuen User angelegt	Nicht mehr direkt als root eingeloggt	Weniger Risiko für Versehen
SSH-Key	Schlüssel statt Passwort	Kein Brute-Force mehr möglich
Port geändert	Weg vom Standard-Port 22	Geringere Chance, beim Scannen gefunden zu werden
Passwort-Login deaktiviert	Login nur noch mit Key	Passwort-Angriffe komplett ausgeschlossen
root-Login deaktiviert	root kann sich nicht mehr direkt einloggen	Erschwert Angreifern das Leben
UFW-Firewall	Nur nötige Ports offen	Angriffsfläche minimiert
BBR-Turbo	Netzwerk-Performance optimiert	Mehr Speed beim Zugriff
fail2ban	Böse IPs automatisch gebannt	Stoppt hartnäckige Angriffe

Mit diesen Schritten ziehst du an 90 % aller VPS auf dem Markt vorbei, was die Sicherheit angeht.

Was im nächsten Teil kommt

Im nächsten Teil stürzen wir uns auf den SSH-Key-Login Setup-Cheatcode und gehen richtig ins Detail:

Wie du auf verschiedenen Systemen Keys generierst
Mehrere Keys verwalten
SSH Agent einrichten
Die üblichen Einstellungen in gängigen SSH-Clients

Dieser Artikel wurde zuletzt aktualisiert: Januar 2026

Toolbox-Serie für Indie-Entwickler, abonniere gerne für mehr!

Your First Hour With a New VPS: A Complete Bare-to-Secure Setup Guide (Make Your OpenClaw Safer)

2026-01-21T11:51:00.000Z

A freshly bought VPS is like an unlocked door with script kiddies knocking from all over the world. This guide walks you through locking that door tight, so your openclaw won’t go running wild.

0. Before We Begin

You just bought a VPS, excitedly grabbed the IP and root password, and now what?

Most folks just dive right in: installing software and deploying their projects.

That’s a dangerous habit.

Your VPS has a public IP, meaning anyone in the world can try to connect to it. And with the default setup:

Port 22 is open to the public
The username is the universally known root
Leaving just a single password to protect you

Countless automated scripts are scanning IP ranges every single day, brute-forcing common passwords. The moment your server goes live, it’s already under attack.

So, the very first thing you do after getting a VPS isn’t installing software—it’s locking down security.

1. Our Goal

The goal of this guide is:

✅ Set up secure remote access: SSH key login + a non-default port
✅ Create a standard user: avoid using root directly
✅ Configure a firewall: only open the ports you actually need
✅ Enable network acceleration: let BBR make your network fly
✅ Prevent brute-force attacks: fail2ban auto-bans malicious IPs

Once you’ve done all this, your VPS will have a rock-solid foundation, and you can deploy all sorts of services on it with total peace of mind.

2. Planning & Thinking

Why bother with all these configurations?

A freshly bought VPS is a lot like a brand-new unfinished house:

Default State	Risk	Our Solution
Logging in directly as root	Too much privilege, high risk of accidental damage	Create a standard user + sudo
Password login	Vulnerable to brute-force attacks	SSH key authentication
Default port 22	Prime target for port scanners	Switch to a non-standard port
Firewall disabled	All ports exposed to the internet	UFW: only allow essential ports
Native network	High packet loss, high latency	BBR congestion control algorithm

The Overall Workflow

We’ll follow this exact order, and I’ll explain the “why” behind each step as we go.

3. Step-by-Step Guide

Grab Your Server IP

Once you’ve bought your VPS, your provider will give you:

IP address: like 192.168.1.100
Port: usually 22 (some providers might change it to a different port)
Username: usually root
Password: a randomly generated string

SSH Connection

Mac / Linux users: open your terminal and just type:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows users:

Windows 10/11 comes with OpenSSH built-in, so you can run the command above directly in PowerShell or CMD
Or you can use tools like Termius, MobaXterm

The first time you connect, you’ll see a fingerprint confirmation prompt:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

It’s basically asking: “I don’t recognize this machine, are you sure you want to connect?”

Type yes and hit Enter. Then enter your password (note: no characters will show up as you type, this is a normal security feature) and hit Enter.

If you see a prompt like this, you’re successfully logged in:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Why verify the fingerprint?
This is to prevent “man-in-the-middle” (MITM) attacks. By saving the server’s fingerprint on your first connection, you’ll know something’s up if it ever changes down the road—usually a sign someone might be spoofing your server.

Getting to know your server

Once you’re logged in, let’s take a quick look at what this machine is packing:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Keep these details in mind—they’ll come in handy when troubleshooting later on.

System update

Alright, now that we’ve scoped out the server specs, the first real order of business is updating the system. Fresh server images can be a few months old, and there might be critical security patches waiting for you:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Here’s what those flags do:

apt update: Updates the package index
apt full-upgrade: Upgrades all installed packages, including the kernel
-y: Automatically says “yes” to prompts so you don’t have to babysit it
apt autoremove: Cleans up dependencies that are no longer needed
apt autoclean: Clears out the cached downloaded package files

⏱️ This step might take a few minutes, depending on how many updates are queued up. If it occasionally stops to ask for confirmation, just follow the prompts and you’ll be fine.

Checking if a reboot is needed

After a kernel update, you’ll usually need to reboot for it to take effect:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

If it tells you a reboot is required:

reboot

Once it reboots, you’ll need to SSH back in.

Installing essential tools

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

What these tools are for:

Tool	What it’s for
`sudo`	Lets regular users run admin commands
`curl` / `wget`	Download files
`git`	Version control
`vim`	Text editor
`htop`	A prettier process monitor
`tree`	Show directory structure as a tree
`net-tools`	Network tools (ifconfig, netstat, etc)
`ufw`	Simple and easy firewall
`fail2ban`	Brute-force protection
`neofetch`	Display system info beautifully

3.2 Creating a Non-Root User

Why not just use root?

The root user has way too much power. One typo with rm -rf / and everything is gone. For your daily operations, you should stick to a regular user and only use sudo when you actually need admin privileges.

The openclaw is a monster—would you really dare to hand root privileges over to it?

Creating the User

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

The system will prompt you to set a password and fill in some basic info:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Granting sudo Privileges

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Let’s verify it:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

If the output shows root, your sudo setup is good to go.

💡 Pro Tip
Type exit to switch back to the root user. We’ll keep using root for the rest of the setup, and once everything is configured, we’ll switch back to the regular user.

3.3 Setting Up SSH Key Authentication

Key Authentication vs. Password Authentication

Key authentication is way more secure than passwords:

Passwords can be brute-forced; keys are practically impossible to crack
No need to type your password every time—much more convenient
Even if your password leaks, no one can log in without the private key

Step 1: Generate a Key Pair Locally

Run this on your local machine (not the server):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

You’ll be prompted with:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Just hit Enter to accept the default path. Here we’re using ./ittinker, which simply means it’ll be saved in your current directory with the filename ittinker.

1	Enter passphrase (empty for no passphrase):

You can set a passphrase for the key (an extra layer of protection), or just hit Enter to leave it blank.

Once it’s done generating, you’ll see two files in the ~/.ssh/ directory (these are the default filenames you’ll get if you just hit Enter earlier):

id_ed25519: Your private key. Keep this absolutely safe and never leak it!
id_ed25519.pub: Your public key. This is the one you’ll upload to the server.

💡 ed25519 vs RSA
ed25519 is the currently recommended algorithm—it’s more secure and has a shorter key than traditional RSA. If your system is too old and doesn’t support it, you can fall back to ssh-keygen -t rsa -b 4096.

A quick side note: ed25519 generates a much smaller key file, whereas RSA files are pretty bulky. I actually asked an AI about this—turns out the file size doesn’t really matter, it’s just how the algorithms work.

Step 2: Upload Your Public Key to the Server

Method A: Using ssh-copy-id (Recommended)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

After typing in your password, your public key will be automatically copied over to the server.

Method B: Manual Copy

If ssh-copy-id doesn’t work, you can just do it manually:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Copy the output (that long string of text starting with ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Permissions are crucial!
SSH is super strict about file permissions:
.ssh directory: 700 (only you can access it)
authorized_keys file: 600 (only you can read and write to it)
If the permissions are off, SSH will refuse to use the key for login.

Open a new terminal window (keep the original one open just in case you mess up and need a backup), and test the key login:

1	ssh ittinker@你的服务器IP

If you can log in without typing a password, your key setup is successful! 🎉

(If you set a passphrase for your private key, it’ll prompt you for that private key password—which is totally normal.)

We added the -i flag here because our key isn’t in the default path. We put it in the current directory instead. If you don’t specify it, the system will just try to use the default key.

3.4 Hardening SSH Security

Now that key-based login is up and running, let’s lock down SSH:

Change the default port (to dodge automated port scans)
Disable password authentication
Block direct root login

Edit the SSH config file

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Find and tweak the following settings (some might be commented out, so just remove the leading #):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Save and exit (ctrl + o).

In Nano, you save by hitting ctrl + o. It’ll prompt you for the filename—just press Enter to confirm. To quit, hit ctrl + x.

Restart the SSH service

1	systemctl restart sshd.service

⚠️ Heads up!
Don’t close your current terminal just yet! First, open a new window and test if you can log in with the new setup:
1
ssh -p 22000 yourname@你的服务器IP
If it works, you’re good to close the old window. If you can’t log in, you can still fix the config from your original session.

If you bought a lightweight server, chances are you can’t change this port. Traditional ECS instances usually let you modify it, so just keep that in mind.

3.5 Set up the UFW firewall

UFW (Uncomplicated Firewall) is Ubuntu’s default firewall tool. It’s super simple to configure but packs a punch.

Basic setup

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Enable the firewall

1	ufw enable

It’ll prompt you:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Type y to confirm.

Check the status

1	ufw status verbose

23022 was a typo on my end—just swap in whatever works for your own setup.

Output looks like:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Common Commands Cheat Sheet

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Enabling BBR Acceleration

BBR (Bottleneck Bandwidth and Round-trip propagation time) is a TCP congestion control algorithm developed by Google that can significantly boost your network performance.

One-Click Enable

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Verify It’s Enabled

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Output should be:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Output looks like:

1	tcp_bbr 20480 3

💡 What BBR Does
Once BBR is up and running, especially on unstable networks or high-latency connections, you’ll noticeably feel:
Faster download speeds
Smoother SSH sessions
Quicker webpage loading

3.7 Setting Up fail2ban to Prevent Brute-Force Attacks

fail2ban monitors your logs and automatically bans any IPs that rack up too many failed login attempts.

Basic Configuration

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Find the [sshd] section and make sure the following settings are in place:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Start the service

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Check the status

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

The output will look something like this:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Common commands

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Optional] Managing Multiple Servers with SSH Config

If you’re juggling multiple servers, typing out ssh -p 22000 user@ip every single time gets old fast. You can use SSH Config to make your life a lot easier.

The Config File

Edit ~/.ssh/config on your local machine:

1	vim ~/.ssh/config

Add your configurations:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

How to Use It

Now you can connect directly using an alias:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

No more memorizing IPs, ports, and usernames!

3.9 [Optional] Restrict Access to Cloudflare Only

If your site sits entirely behind Cloudflare, you can lock down ports 80 and 443 so only Cloudflare’s IPs can reach them. It’s a great little security boost.

⚠️ Heads up: This setup requires your domain to already be proxied through the Cloudflare CDN.

Auto-Configuration Script

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

This script will:

Grab the latest IP ranges straight from Cloudflare
Add UFW rules to only allow those IPs to hit ports 80/443
Reload UFW

Set Up Scheduled Updates

Cloudflare’s IP ranges can change over time, so let’s set this to auto-update every week:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Set Your Timezone

The default timezone is probably UTC. Let’s switch it to your local timezone so reading logs is a breeze:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Optional] Set Up Automatic Security Updates

Let the system install security patches automatically so you don’t have to do it manually every time:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Select “Yes” to enable automatic updates.

💡 This will automatically install security updates only. It won’t upgrade your system to a major new release, so it’s pretty safe to leave on.

4. Wrap Up

Post-Setup Checklist

Once you’ve got all the above configured, run through this checklist to double-check everything:

Check	Command	Expected Result
System is up to date	`apt update && apt list --upgradable`	No packages to upgrade
Regular user can sudo	`sudo whoami`	Outputs `root`
Key-based login works	`ssh yourname@ip -p port`	Logs in without a password
Password login is disabled	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH port changed	`grep Port /etc/ssh/sshd_config`	The port you set
Firewall is enabled	`ufw status`	`Status: active`
BBR is enabled	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban is running	`systemctl status fail2ban`	`active (running)`
Timezone is set	`timedatectl`	Asia/Shanghai or your timezone
Local SSH Config	`cat ~/.ssh/config`	Server alias configured

Key File Locations

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Security Best Practices

Update your system regularly: apt update && apt upgrade
Check login logs regularly: lastb (failed logins), last (successful logins)
Keep an eye on fail2ban bans
Back up important config files before making changes

5. Troubleshooting

Possible reasons:

Permission issues (most common)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Public key wasn’t copied correctly

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux interference (on CentOS/RHEL systems)
1
restorecon -Rv ~/.ssh

Q2: Can’t connect after changing the port?

Troubleshooting steps:

Make sure the new port is open in your firewall:
1
ufw status | grep 你的端口
Double-check your SSH config:
1
grep Port /etc/ssh/sshd_config
Verify the SSH service is actually running:
1
systemctl status sshd
If you’re completely locked out, use your cloud provider’s VNC or web console to log in and fix it.

Q2.5: Port change not taking effect at all? (On lightweight cloud servers)

Symptom: You changed /etc/ssh/sshd_config, but after restarting the service, port 22 is still listening and the new port isn’t working.

How to diagnose it:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

If the output looks something like this:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

It means port 22 is being listened on by init (PID 1), not the sshd process.

Why?: Some cloud providers’ “Lightweight Servers” or “Container Instances” proxy SSH at the platform layer, meaning your server’s internal sshd config won’t take effect at all.

The Fix:

Instance Type	How to Change SSH Port
Traditional ECS	Edit sshd_config ✅
Lightweight Server	Might need to be changed in the cloud console, or not supported at all
Container Instance	Usually not supported

If your instance doesn’t support changing the port, other security measures become even more critical:

✅ Create a standard user + disable root login
✅ Use SSH key authentication + disable password login
✅ Use fail2ban to block brute-force attacks

Nail these down, and your server will still be highly secure.

Q3: fail2ban banned me by mistake?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Website inaccessible after enabling UFW?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: “sudo: command not found” when running commands?

A minimal Debian install might not come with sudo. Install it using root:

1 2	apt install sudo usermod -aG sudo ittinker

6. One-Click Init Script (For When You’re Comfortable)

Once you’re familiar with the steps above, you can use this script to fast-track the setup.

⚠️ Heads up: Before running the script, make sure you’ve already got your SSH public key ready.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. How Much More Secure Are We Now?

Step	What We Did	Why It Matters
System Update	Installed the latest patches	Fixes known vulnerabilities
Created a New User	Stopped logging in directly as root	Reduces the risk of accidental mishaps
SSH Keys	Swapped passwords for keys	Brute-force attacks become impossible
Changed the Port	Ditched the default port 22	Lowers the chances of getting scanned
Disabled Passwords	Key-only login allowed	Completely eliminates password attacks
Disabled Root	Root can’t log in directly	Makes an attacker’s job much harder
UFW Firewall	Only opened necessary ports	Shrinks the attack surface
BBR Acceleration	Optimized network performance	Speeds up access
fail2ban	Auto-bans malicious IPs	Stops persistent attacks

Once you’ve done all this, your server is already more secure than 90% of the VPS instances out there. Give yourself a pat on the back!

What’s Coming Up Next

In the next post, we’ll dive into a Quick Reference for SSH Key Login Setup, covering the nitty-gritty details like:

How to generate keys on different operating systems
Managing multiple keys
SSH Agent configuration
Common SSH client settings

This post was last updated: January 2026

Indie Dev Toolbox Series—hit that follow button!

Tu primera hora con el VPS: guía completa de bare metal a seguro y listo (haz que tu OpenClaw sea más seguro)

2026-01-21T11:51:00.000Z

Un VPS recién comprado es como una puerta sin cerradura, y hay script kiddies por todo el mundo tocando el timbre. En este post te enseño a ponerle buen cerrojo. Para que tu openclaw no salga correteando por ahí.

0. Antes de empezar

Acabas de comprar un VPS, te emocionas al recibir la IP y la contraseña de root, ¿y luego qué?

Lo que hace mucha gente es: empezar a instalar software y desplegar el proyecto directamente.

Ese es un hábito peligroso.

Tu VPS tiene una IP pública, lo que significa que cualquier persona en el mundo puede intentar conectarse a él. Y con la configuración por defecto:

El puerto expuesto es el 22
El usuario es el archiconocido root
Solo te queda una contraseña para protegerte

Cada día, infinidad de scripts automatizados están escaneando rangos de IPs, intentando ataques de fuerza bruta con contraseñas comunes. Desde el instante en que tu servidor se conecta, ya está bajo ataque.

Por eso, lo primero que debes hacer al recibir tu VPS no es instalar software, sino dejar la seguridad a punto.

1. Nuestro objetivo

El objetivo de este artículo es:

✅ Montar acceso remoto seguro: login con llaves SSH + un puerto que no sea el de por defecto
✅ Crear un usuario normal: evita usar root directamente
✅ Configurar el firewall: abre solo los puertos imprescindibles
✅ Activar la aceleración de red: con BBR la conexión sale volando
✅ Frenar los ataques de fuerza bruta: fail2ban banea solito las IPs maliciosas

Con todo esto listo, tu VPS va a tener una base sólida para que puedas desplegar servicios con tranquilidad.

2. Plan y reflexión

¿Por qué hacer toda esta configuración?

Un VPS recién comprado es como un piso recién entregado, a medio terminar:

Estado por defecto	Riesgo	Nuestra solución
Acceso directo con usuario root	Privilegios excesivos, un error puede ser fatal	Crear usuario normal + sudo
Acceso por contraseña	Vulnerable a ataques de fuerza bruta	Acceso SSH con llaves
Puerto 22 por defecto	Es el primer objetivo de los escáneres	Cambiar a un puerto no estándar
Firewall apagado	Todos los puertos expuestos	UFW para abrir solo lo necesario
Red nativa	Alta pérdida de paquetes y mucha latencia	Algoritmo de control de congestión BBR

Flujo general

Vamos a seguir este orden paso a paso, y te explicaré el porqué de cada cosa.

3. Pasos a seguir

3.1 Primer acceso y actualización del sistema

Conseguir la IP del servidor

Una vez que compras el VPS, tu proveedor te va a dar:

Dirección IP: por ejemplo 192.168.1.100
Puerto: normalmente es 22 (algunos proveedores lo cambian por otro)
Usuario: por lo general root
Contraseña: una cadena de caracteres generada aleatoriamente

Conexión por SSH

Usuarios de Mac / Linux: abran la terminal y escriban directamente:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Usuarios de Windows:

Windows 10/11 ya incluye OpenSSH, así que pueden usar el comando anterior directamente en PowerShell o CMD
O pueden usar herramientas como Termius, MobaXterm

La primera vez que se conecten verán un mensaje para confirmar la huella digital:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Básicamente les pregunta: «No conozco esta máquina, ¿seguro que quieres conectarte?»

Escriban yes y presionen Enter. Luego escriban la contraseña (ojo: al escribirla no se muestra ningún carácter, es una medida de seguridad totalmente normal) y presionen Enter.

Si ven un mensaje parecido a este, ¡ya están dentro!:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 ¿Por qué verificar la huella digital?
Para prevenir ataques de “man-in-the-middle”. La primera vez que te conectas, anotas la huella digital del servidor. Si en el futuro cambia al intentar conectarte, es una señal de que alguien podría estar suplantando tu servidor.

Conociendo tu servidor

Nada más iniciar sesión, échale un ojo al estado general de la máquina:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Guarda bien esta información, te hará falta más adelante cuando tengas que solucionar algún problema.

Actualización del sistema

Una vez que ya conoces la info de tu servidor, la primera tarea seria es actualizar el sistema. La imagen del sistema de un servidor nuevo puede tener ya unos meses, y es muy probable que se hayan publicado parches de seguridad desde entonces:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Explicación de los parámetros:

apt update: actualiza el índice de paquetes
apt full-upgrade: actualiza todos los paquetes, incluido el kernel
-y: confirma automáticamente, así no tienes que escribir “yes” a mano
apt autoremove: elimina las dependencias que ya no se necesitan
apt autoclean: limpia la caché de los paquetes de instalación descargados

⏱️ Este paso puede tardar unos minutos, dependiendo de la cantidad de actualizaciones. Si te pide confirmación en algún momento, básicamente dile que sí y sigue la corriente.

Comprobar si hace falta reiniciar

Después de actualizar el kernel, normalmente hace falta reiniciar para que los cambios surtan efecto:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Si te sale un aviso de que hay que reiniciar:

reboot

Tras el reinicio, tendrás que volver a conectarte por SSH.

Instalar herramientas de uso común

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

¿Para qué sirven estas herramientas?:

Herramienta	Uso
`sudo`	Permite a usuarios normales ejecutar comandos de administrador
`curl` / `wget`	Descargar archivos
`git`	Control de versiones
`vim`	Editor de texto
`htop`	Monitor de procesos más visual
`tree`	Muestra la estructura de directorios en forma de árbol
`net-tools`	Herramientas de red (ifconfig, netstat, etc.)
`ufw`	Un firewall sencillo y fácil de usar
`fail2ban`	Protección contra ataques de fuerza bruta
`neofetch`	Muestra la información del sistema de forma bonita

3.2 Crear un usuario no root

¿Por qué no usar root directamente?

El usuario root tiene demasiados privilegios. Con un simple resbalón tecleando rm -rf /, puedes borrar todo sin remedio. Para el día a día, conviene usar un usuario normal y recurrir a sudo solo cuando necesites permisos de administrador.

La langosta (openclaw) es un monstruo, ¿cómo se te ocurre darle acceso root?

Crear el usuario

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

El sistema te pedirá que establezcas una contraseña y algunos datos adicionales:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Otorgar permisos sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Comprobemos que funciona:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Si el resultado es root, significa que sudo se configuró correctamente.

💡 Tip
Si escribes exit volverás al usuario root. Para los siguientes pasos seguiremos configurando como root y, al terminar, cambiaremos al usuario normal.

3.3 Configurar acceso por clave SSH

Autenticación por clave vs. por contraseña

La autenticación por clave es muchísimo más segura que la de contraseña:

Las contraseñas se pueden crackear por fuerza bruta; adivinar una clave es prácticamente imposible
No tienes que escribir la contraseña cada vez, lo cual es mucho más cómodo
Aunque tu contraseña se filtre, sin la clave privada nadie podrá iniciar sesión

Paso 1: Generar el par de claves en tu equipo local

Ejecuta esto en tu ordenador (no en el servidor):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Te saldrá este aviso:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Simplemente pulsa Enter para usar la ruta por defecto. Aquí hemos usado ./ittinker, lo que significa que se guardará en el directorio actual con el nombre ittinker.

1	Enter passphrase (empty for no passphrase):

Puedes ponerle una contraseña a la clave (para tener una capa extra de protección) o simplemente pulsar Enter y dejarlo en blanco.

Cuando termine, verás dos archivos en el directorio ~/.ssh/ (estos son los nombres por defecto, así te quedarán si has pulsado Enter antes):

id_ed25519: la clave privada, ¡que jamás debes filtrar!
id_ed25519.pub: la clave pública, que tienes que subir al servidor

💡 ed25519 vs RSA
ed25519 es el algoritmo recomendado a día de hoy: más seguro que el clásico RSA y con claves más cortas. Si tu sistema es muy antiguo y no lo soporta, puedes tirar por ssh-keygen -t rsa -b 4096.

Un pequeño detalle: la clave que genera ed25519 es bastante más pequeña, mientras que el archivo de RSA es muy grande. Se lo pregunté a la IA y me enteré de que el tamaño da igual, lo que importa es el algoritmo.

Paso 2: Sube la clave pública al servidor

Método A: Usar ssh-copy-id (recomendado)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Tras meter la contraseña, la clave pública se copiará al servidor automáticamente.

Método B: Copiar a mano

Si ssh-copy-id no te funciona, puedes hacerlo a mano:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Copia el texto que te arroja la consola (es una cadena bastante larga que empieza con ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ ¡Ojo con los permisos!
SSH es súper estricto con los permisos de los archivos:
Directorio .ssh: 700 (acceso exclusivo para ti)
Archivo authorized_keys: 600 (lectura y escritura solo para ti)
Si los permisos no están bien, SSH se negará en redondo a usar tu llave para iniciar sesión.

Paso 3: Probar el inicio de sesión con llave

Abre una ventana de terminal nueva (no cierres la original por si metes la pata y necesitas revertir los cambios) y prueba acceder con tu llave:

1	ssh ittinker@你的服务器IP

Si logras entrar sin que te pida la contraseña, ¡ya quedó lista la configuración de la llave! 🎉

(Si le pusiste una passphrase a tu llave privada, te pedirá esa contraseña; es un comportamiento totalmente normal)

Aquí le pasamos el parámetro -i porque esta llave no está en la ruta por defecto, sino en el directorio actual. Si no se lo especificamos, el sistema intentará usar la llave por defecto.

3.4 Reforzando la seguridad de SSH

Ya que el inicio de sesión con llave te funciona, vamos a blindar un poco más el SSH:

Cambiar el puerto por defecto (para esquivar a los bots que escanean la red)
Desactivar el inicio de sesión con contraseña
Bloquear el acceso directo del usuario root

Editar el archivo de configuración de SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Busca y modifica las siguientes opciones (algunas quizás estén comentadas, así que borra el # del principio):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Guarda y sal del editor (ctrl + o).

En Nano, para guardar es Ctrl + O; te pedirá el nombre del archivo, dale directamente Enter, y para salir es Ctrl + X.

Reiniciar el servicio SSH

1	systemctl restart sshd.service

⚠️ ¡Ojo con esto!
¡No cierres la terminal actual! Primero abre una ventana nueva y prueba si puedes iniciar sesión con la nueva configuración:
1
ssh -p 22000 yourname@你的服务器IP
Si logras entrar, entonces ya puedes cerrar la ventana vieja. Si te quedas fuera, todavía puedes arreglar la configuración desde la sesión anterior.

Si compraste un servidor ligero, lo más probable es que este puerto no se pueda cambiar; en cambio, los servidores ECS tradicionales sí lo permiten. Tenlo en cuenta.

3.5 Configurar el firewall UFW

UFW (Uncomplicated Firewall) es la herramienta de firewall que viene por defecto en Ubuntu. Es súper fácil de configurar, pero potente a la vez.

Configuración básica

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Activar el firewall

1	ufw enable

Te mostrará este mensaje:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Escribe y para confirmar.

Comprobar el estado

1	ufw status verbose

El 23022 fue un error de tipeo mío, simplemente ajusten eso según su propio caso.

La salida será algo como:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Chuleta de comandos habituales

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Activar la aceleración BBR

BBR (Bottleneck Bandwidth and Round-trip propagation time) es un algoritmo de control de congestión TCP desarrollado por Google que mejora significativamente el rendimiento de la red.

Activarlo con un solo comando

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Verificar si está activado

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

La salida debería ser:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

La salida será algo como:

1	tcp_bbr 20480 3

💡 El efecto de BBR
Tras activar BBR, especialmente en entornos con red inestable o alta latencia, notarás claramente:
Descargas más rápidas
Operaciones SSH más fluidas
Carga de páginas más veloz

3.7 Configurar fail2ban para prevenir ataques de fuerza bruta

fail2ban monitoriza los registros y, si detecta una IP con múltiples intentos de inicio de sesión fallidos, la bloquea automáticamente.

Configuración básica

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Busca la sección [sshd] y asegúrate de tener la siguiente configuración:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Levantar el servicio

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Revisar el estado

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

El resultado será algo parecido a esto:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Comandos más usados

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Opcional] Gestionar varios servidores con SSH Config

Si tienes varios servidores, escribir ssh -p 22000 user@ip cada vez es un rollo. Puedes usar SSH Config para simplificarlo.

Archivo de configuración

Edita ~/.ssh/config en tu computadora local:

1	vim ~/.ssh/config

Añade la configuración:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Cómo usarlo

Ahora puedes conectarte directamente usando el alias:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

¡Te ahorras tener que memorizar la IP, el puerto y el nombre de usuario!

3.9 [Opcional] Permitir el acceso solo desde Cloudflare

Si tu web está completamente detrás de Cloudflare, puedes configurar el firewall para que solo las IP de Cloudflare puedan acceder a los puertos 80/443 y darle un extra de seguridad.

⚠️ Ojo: para esta configuración, tu dominio ya debe estar apuntando a Cloudflare CDN.

Script de configuración automática

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Este script se encarga de:

Consigue los rangos de IP más recientes desde la página oficial de Cloudflare
Añade reglas en UFW para que solo esas IPs puedan acceder a los puertos 80/443
Recarga UFW

Programar actualizaciones automáticas

Los rangos de IP de Cloudflare pueden cambiar, así que vamos a configurar una actualización automática semanal:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Configurar la zona horaria

La zona horaria por defecto seguramente sea UTC. Cámbiala a tu zona local para que te sea más cómodo leer los logs:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Opcional] Configurar actualizaciones de seguridad automáticas

Deja que el sistema instale los parches de seguridad por su cuenta y olídate de hacerlo a mano cada vez:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Selecciona «Sí» para activar las actualizaciones automáticas.

💡 Esta función instala automáticamente las actualizaciones de seguridad, pero no te subirá a versiones mayores nuevas, así que es bastante seguro.

4. Resumen

Checklist de inicialización

Cuando termines toda la configuración anterior, repasa todo con esta checklist:

Verificación	Comando	Resultado esperado
Sistema actualizado	`apt update && apt list --upgradable`	No hay paquetes para actualizar
Usuario normal puede usar sudo	`sudo whoami`	Devuelve `root`
Login por clave funciona	`ssh yourname@ip -p port`	Entra sin pedir contraseña
Login por contraseña deshabilitado	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
Puerto SSH modificado	`grep Port /etc/ssh/sshd_config`	El puerto que configuraste
Firewall activado	`ufw status`	`Status: active`
BBR activado	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban en ejecución	`systemctl status fail2ban`	`active (running)`
Zona horaria configurada	`timedatectl`	Asia/Shanghai o tu zona horaria
Config SSH local	`cat ~/.ssh/config`	Alias del servidor configurado

Ubicación de archivos clave

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Mejores prácticas de seguridad

Actualiza el sistema regularmente: apt update && apt upgrade
Revisa los logs de acceso con frecuencia: lastb (logins fallidos), last (logins exitosos)
Mantente al tanto de los bloqueos de fail2ban
Haz siempre un backup antes de tocar archivos de configuración importantes

5. Registro de incidencias

Posibles causas:

Problema de permisos (lo más común)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

La clave pública no se copió correctamente

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Interferencia de SELinux (sistemas CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: ¿No puedes conectarte después de cambiar el puerto?

Pasos para revisar:

Confirma que el nuevo puerto esté abierto en el firewall:
1
ufw status | grep 你的端口
Verifica que la configuración de SSH esté correcta:
1
grep Port /etc/ssh/sshd_config
Asegúrate de que el servicio SSH esté corriendo:
1
systemctl status sshd
Si no hay forma de conectarse, entra por la consola VNC de tu proveedor para arreglarlo.

Q2.5: ¿El cambio de puerto no surte efecto? (Servidores ligeros en la nube)

Síntoma: Modificaste /etc/ssh/sshd_config, pero al reiniciar el servicio el puerto 22 sigue activo y el nuevo puerto no funciona.

Cómo diagnosticarlo:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Si el resultado es algo como:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Significa que el puerto 22 lo está escuchando init (PID 1), y no el proceso de sshd.

Motivo: En algunos proveedores de nube, el SSH de los «servidores de aplicaciones ligeros» o «instancias de contenedor» pasa por un proxy a nivel de plataforma, así que la configuración de sshd dentro de tu servidor no hace nada.

Solución:

Tipo de instancia	Cómo cambiar el puerto SSH
ECS tradicional	Modificar sshd_config ✅
Servidor ligero	Puede que tengas que cambiarlo desde el panel de la nube, o que directamente no se pueda
Instancia de contenedor	Normalmente no se puede cambiar

Si tu instancia no soporta cambiar el puerto, las demás medidas de seguridad pesan más:

✅ Crear un usuario normal + deshabilitar el login de root
✅ Login por clave SSH + deshabilitar el login por contraseña
✅ fail2ban para frenar los ataques de fuerza bruta

Si aplicas bien estas medidas, la seguridad sigue siendo alta.

Q3: ¿fail2ban me bloqueó a mí mismo?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: ¿UFW dejó el sitio inaccesible tras activarlo?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: ¿Al ejecutar un comando te dice que no encuentra sudo?

La instalación mínima de Debian puede no traer sudo; instálalo como root:

1 2	apt install sudo usermod -aG sudo ittinker

6. Script de inicialización con un clic (para cuando ya le tengas agarre)

Si ya te sientes cómodo con los pasos anteriores, usa este script para inicializar rápido.

⚠️ Ojo: Antes de ejecutar el script, asegúrate de tener lista tu llave pública de SSH.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Con todo esto, ¿cuánto mejoró la seguridad?

Paso	Qué hicimos	Por qué es importante
Actualizar el sistema	Instalar los últimos parches	Corrige vulnerabilidades conocidas
Crear un nuevo usuario	Dejar de usar root directamente	Reduce el riesgo de errores
Llaves SSH	Usar llaves en vez de contraseñas	Imposible de vulnerar por fuerza bruta
Cambiar el puerto	Esquivar el puerto 22 por defecto	Baja la probabilidad de que te escaneen
Deshabilitar contraseñas	Solo permitir login con llave	Elimina por completo los ataques de contraseñas
Deshabilitar root	root no puede iniciar sesión directo	Sube la dificultad para los atacantes
Firewall UFW	Abrir solo los puertos necesarios	Reduce la superficie de ataque
Aceleración BBR	Optimizar el rendimiento de red	Mejora la velocidad de acceso
fail2ban	Bloquear IPs maliciosas automáticamente	Previene ataques persistentes

Con todo esto, la seguridad de tu servidor ya supera a la del 90% de los VPS.

Avance del próximo artículo

En el próximo artículo hablaremos sobre la Guía rápida de configuración para login con llaves SSH, donde veremos más a detalle:

Cómo generar llaves en distintos sistemas
Gestión de múltiples llaves
Configuración de SSH Agent
| Ajustes comunes para clientes SSH

Este artículo se actualizó por última vez: enero de 2026

Serie sobre el kit de herramientas del indie dev. ¡No te pierdas las próximas entregas!

La première heure avec ton VPS : de la bare metal à une config sécurisée et prête à l'emploi (pour sécuriser ton OpenClaw)

2026-01-21T11:51:00.000Z

Un VPS tout neuf, c’est une porte ouverte. Des petits malins du monde entier viennent y frapper. Dans ce tuto, on va mettre un sacré verrou. Et faire en sorte que ton openclaw ne file pas n’importe où.

0. Avant de commencer

Tu viens de prendre un VPS, tu récupères ton IP et ton mot de passe root, super excité. Et après ?

Le réflexe de beaucoup de monde, c’est de foncer : on installe des trucs, on déploie des projets.

C’est une mauvaise habitude.

Ton VPS a une IP publique, ce qui veut dire que n’importe qui sur la planète peut essayer de s’y connecter. Et avec la config par défaut :

Le port 22 est grand ouvert
Le nom d’utilisateur est le grand classique root
Il ne te reste plus que ton mot de passe pour te protéger

Chaque jour, une tripotée de scripts automatisés scannent des plages d’IP pour tenter des attaques par force brute avec des mots de passe courants. Dès la seconde où ton serveur est en ligne, il se prend déjà des attaques.

Donc, la toute première chose à faire quand tu mets la main sur un VPS, ce n’est pas d’installer des logiciels, mais de le sécuriser de A à Z.

1. L’objectif

L’objectif de cet article, c’est de :

✅ Mettre en place un accès distant sécurisé : connexion par clé SSH + port non standard
✅ Créer un utilisateur standard : éviter de bosser directement en root
✅ Configurer le pare-feu : n’ouvrir que les ports strictement nécessaires
✅ Activer l’accélération réseau : BBR pour faire décoller le réseau
✅ Se protéger du brute force : fail2ban pour bannir automatiquement les IP malveillantes

Une fois tout ça en place, ton VPS aura une base super solide, et tu pourras y déployer tes services l’esprit tranquille.

2. Réflexion et plan

Pourquoi faire toutes ces configs ?

Un VPS tout juste acheté, c’est un peu comme un appart livré brut de décoffrage :

Config par défaut	Risque	Notre solution
Connexion directe en root	Privilèges trop élevés, une mauvaise manip et c’est la catastrophe	Créer un user standard + sudo
Connexion par mot de passe	Vulnerable au brute force	Connexion SSH par clé
Port 22 par défaut	La cible n°1 des scanners	Passer sur un port non standard
Pare-feu désactivé	Tous les ports exposés à l’air libre	UFW : on n’ouvre que le strict nécessaire
Réseau natif	Taux de perte de paquets élevé, latence importante	Algorithme de contrôle de congestion BBR

Le déroulé

On va suivre cet ordre de marche, et je t’expliquerai à chaque étape pourquoi on fait ça.

3. Les étapes

3.1 Première connexion et mise à jour du système

Récupérer l’IP du serveur

Une fois que tu as acheté ton VPS, ton fournisseur va te filer :

Adresse IP : par exemple 192.168.1.100
Port : généralement 22 (certains fournisseurs le changent)
Nom d’utilisateur : généralement root
Mot de passe : une chaîne de caractères générée aléatoirement

Connexion SSH

Utilisateurs Mac / Linux : ouvrez le terminal et tapez directement :

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Utilisateurs Windows :

Windows 10/11 intègre OpenSSH, vous pouvez donc utiliser la commande ci-dessus directement dans PowerShell ou CMD
Ou utilisez des outils comme Termius, MobaXterm, etc.

Lors de la première connexion, vous verrez une invite de confirmation d’empreinte :

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Il vous demande : « Je ne connais pas cette machine, tu es sûr de vouloir te connecter ? »

Tapez yes puis appuyez sur Entrée. Ensuite, saisissez votre mot de passe (attention : aucun caractère ne s’affiche pendant la saisie, c’est une mesure de sécurité normale), et appuyez sur Entrée.

Si vous voyez une invite comme celle-ci, cela signifie que la connexion a réussi :

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Pourquoi vérifier l’empreinte ?
C’est pour se prémunir contre les attaques de l’homme du milieu (Man-in-the-Middle). Lors de la toute première connexion, on enregistre l’empreinte du serveur. Si jamais elle change lors d’une connexion ultérieure, ça veut dire que quelqu’un est peut-être en train d’usurper l’identité de ton serveur.

Faire connaissance avec ton serveur

Une fois connecté, la première étape, c’est de jeter un œil à l’état général de la machine :

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Garde ces infos en tête, elles te seront utiles plus tard pour dépanner si besoin.

Mise à jour du système

Maintenant qu’on a fait le tour des infos du serveur, la première vraie chose à faire, c’est de mettre le système à jour. L’image système d’un serveur tout neuf date peut-être de quelques mois, et des correctifs de sécurité ont pu sortir depuis :

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Explication des options :

apt update : met à jour l’index des paquets
apt full-upgrade : met à niveau tous les logiciels, noyau inclus
-y : confirmation automatique, pas besoin de taper “yes” à la main
apt autoremove : supprime les dépendances qui ne sont plus utiles
apt autoclean : nettoie le cache des paquets téléchargés

⏱️ Cette étape peut prendre quelques minutes, selon le nombre de mises à jour. De temps en temps, il te demandera de confirmer un truc, là tu fais juste confiance au système et tu valides.

Vérifier si un redémarrage est nécessaire

Après une mise à jour du noyau, il faut généralement redémarrer pour que ça prenne effet :

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

S’il te dit qu’il faut redémarrer :

reboot

Après le redémarrage, il faudra te reconnecter en SSH.

Installer les outils usuels

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

À quoi servent ces outils :

Outil	Usage
`sudo`	Permet aux utilisateurs normaux d’exécuter des commandes admin
`curl` / `wget`	Télécharger des fichiers
`git`	Gestion de versions
`vim`	Éditeur de texte
`htop`	Un moniteur de processus plus agréable à l’œil
`tree`	Afficher l’arborescence des dossiers
`net-tools`	Outils réseau (ifconfig, netstat, etc.)
`ufw`	Un pare-feu simple et efficace
`fail2ban`	Se protéger contre le brute-force
`neofetch`	Afficher les infos système avec style

3.2 Créer un utilisateur non-root

Pourquoi ne pas utiliser root directement ?

L’utilisateur root a des pouvoirs beaucoup trop étendus. Une simple erreur de saisie avec rm -rf / et c’est la catastrophe totale. Pour ton usage au quotidien, utilise plutôt un utilisateur normal. Tu n’aura recours aux droits d’admin qu’en cas de besoin avec sudo.

Le homard (openclaw) est une vraie bête sauvage, tu n’oserais quand même pas lui filer les clés du royaume avec root, non ?

Créer l’utilisateur

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Le système va te demander de définir un mot de passe et de remplir quelques infos :

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Donner les droits sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

On vérifie ça tout de suite :

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Si ça te renvoie root, c’est que sudo est bien configuré.

💡 Petite astuce
Tape exit pour revenir à l’utilisateur root. Pour la suite des opérations, on va continuer à configurer le serveur avec root, et on basculera sur l’utilisateur normal une fois que tout sera prêt.

3.3 Configurer la connexion par clé SSH

Authentification par clé vs par mot de passe

La connexion par clé est infiniment plus sûre qu’un simple mot de passe :

Un mot de passe peut se faire cracker par force brute, une clé c’est quasiment mission impossible
Pas besoin de taper ton mot de passe à chaque connexion, c’est tellement plus pratique
Même si ton mot de passe fuite, sans la clé privée personne ne pourra se connecter

Étape 1 : Générer la paire de clés en local

Lance ça sur ton ordinateur (pas sur le serveur) :

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Ça va te demander :

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Fais juste Entrée pour garder le chemin par défaut. Ici on a utilisé ./ittinker, ce qui veut dire que ça va se sauvegarder dans le dossier courant, sous le nom de ittinker.

1	Enter passphrase (empty for no passphrase):

Tu peux définir un mot de passe pour ta clé (une couche de sécurité en plus), ou juste faire Entrée pour laisser vide.

Une fois la génération terminée, tu trouveras deux fichiers dans le dossier ~/.ssh/ (voici les noms par défaut, si tu as juste fait Entrée avant) :

id_ed25519 : ta clé privée, à ne surtout jamais fuiter !
id_ed25519.pub : ta clé publique, à envoyer sur le serveur

💡 ed25519 vs RSA
ed25519 est l’algo recommandé aujourd’hui : plus sécurisé et avec des clés plus courtes que le bon vieux RSA. Si ton système est trop vieux et ne le supporte pas, tu peux te rabattre sur ssh-keygen -t rsa -b 4096.

Petit détail technique : la clé générée par ed25519 est assez petite, alors que les fichiers RSA sont balèzes. J’ai demandé à une IA pour être sûr, et en fait la taille du fichier n’a pas d’importance, c’est juste lié à l’algo.

Étape 2 : Envoyer la clé publique sur le serveur

Méthode A : utiliser ssh-copy-id (recommandée)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Après avoir tapé ton mot de passe, la clé publique sera automatiquement copiée sur le serveur.

Méthode B : copier manuellement

Si ssh-copy-id ne fonctionne pas, tu peux tout à fait le faire à la main :

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Copie le contenu affiché (une longue chaîne qui commence par ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Les permissions, c’est crucial !
SSH est très strict sur les permissions des fichiers :
Dossier .ssh : 700 (accessible uniquement par ton utilisateur)
Fichier authorized_keys : 600 (lecture et écriture uniquement pour ton utilisateur)
Si les permissions ne sont pas bonnes, SSH refusera tout simplement d’utiliser la clé pour se connecter.

Étape 3 : Tester la connexion par clé

Ouvre un nouveau terminal (garde l’ancien ouvert, au cas où tu ferais une fausse manip pour pouvoir rattraper le coup), et teste la connexion par clé :

1	ssh ittinker@你的服务器IP

Si tu peux te connecter sans avoir à taper ton mot de passe, c’est gagné, la clé est bien configurée ! 🎉

(Par contre, si tu as mis un passphrase sur ta clé privée, le système te le demandera, c’est tout à fait normal)

Ici j’ai rajouté le paramètre -i, parce que cette clé n’est pas dans le chemin par défaut, mais bien dans le dossier courant. Si on ne le précise pas, le système va chercher la clé par défaut.

3.4 Sécuriser SSH

Maintenant que la connexion par clé fonctionne, on va passer à la sécurisation de SSH :

Changer le port par défaut (pour éviter de se faire scanner)
Désactiver la connexion par mot de passe
Interdire la connexion directe en root

Éditer le fichier de configuration SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Repérez et modifiez les paramètres suivants (certains sont peut-être en commentaire, retirez simplement le # au début) :

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Sauvegardez et quittez (ctrl + o).

Sous Nano, pour sauvegarder c’est Ctrl + O. Il vous demandera le nom du fichier, faites juste Entrée. Pour quitter, c’est Ctrl + X.

Redémarrer le service SSH

1	systemctl restart sshd.service

⚠️ Attention, c’est important !
Ne fermez pas votre terminal actuel ! D’abord, testez dans une nouvelle fenêtre si la nouvelle config vous permet de vous connecter :
1
ssh -p 22000 yourname@你的服务器IP
Si ça marche, vous pouvez fermer l’ancienne fenêtre. Si vous n’arrivez pas à vous connecter, vous pouvez toujours corriger la config dans l’ancienne fenêtre.

Si vous avez pris un serveur léger, il y a de fortes chances que ce port ne puisse pas être modifié. Les ECS classiques le permettent, faites donc bien attention.

3.5 Configurer le pare-feu UFW

UFW (Uncomplicated Firewall) est l’outil pare-feu par défaut sur Ubuntu. Simple à configurer, mais redoutable.

Configuration de base

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Activer le pare-feu

1	ufw enable

Il vous demandera :

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Tapez y pour confirmer.

Vérifier le statut

1	ufw status verbose

23022, c’est une faute de frappe de ma part, adaptez-vous juste à votre propre situation.

Ça devrait donner un truc comme ça :

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Aide-mémoire des commandes courantes

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Activer l’accélération BBR

BBR (Bottleneck Bandwidth and Round-trip propagation time), c’est un algorithme de contrôle de congestion TCP développé par Google. Il peut vraiment donner un coup de fouet aux performances réseau de votre serveur.

Activation en un clin d’œil

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Vérifier que c’est bien activé

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Vous devriez obtenir :

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Un truc comme ça :

1	tcp_bbr 20480 3

💡 L’impact de BBR
Une fois BBR activé, surtout si votre connexion est instable ou que vous avez une forte latence, vous allez clairement sentir la différence :
Vos téléchargements seront bien plus rapides
Vos sessions SSH seront plus fluides
Le chargement des pages web sera beaucoup plus réactif

3.7 Configurer fail2ban pour bloquer le brute-force

fail2ban, c’est l’outil parfait pour surveiller vos logs. Dès qu’il repère une IP qui rate ses identifiants à répétition, il la bannit automatiquement.

Configuration de base

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Repérez la section [sshd] et assurez-vous d’avoir cette configuration :

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Démarrer le service

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Vérifier le statut

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Le résultat ressemble à ça :

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Commandes courantes

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Optionnel] Gérer plusieurs serveurs avec SSH Config

Si tu as plusieurs serveurs, taper ssh -p 22000 user@ip à chaque fois, c’est vite relou. Tu peux utiliser SSH Config pour simplifier tout ça.

Le fichier de configuration

Sur ton ordinateur local, édite ~/.ssh/config :

1	vim ~/.ssh/config

Ajoute la configuration suivante :

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Comment l’utiliser

Maintenant, tu peux te connecter directement avec l’alias :

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Plus besoin de te rappeler de l’IP, du port et du nom d’utilisateur !

3.9 [Optionnel] Restreindre l’accès à Cloudflare uniquement

Si ton site est complètement derrière Cloudflare, tu peux configurer le pare-feu pour n’autoriser que les IP de Cloudflare sur les ports 80/443. Ça rajoute une bonne couche de sécurité.

⚠️ Attention : pour cette config, il faut que ton domaine soit déjà relié au CDN de Cloudflare.

Le script de configuration automatique

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Ce script va :

Récupère les derniers blocs IP directement depuis le site officiel de Cloudflare
Ajoute des règles UFW pour autoriser uniquement ces IP à accéder aux ports 80/443
Recharge UFW

Planifier la mise à jour automatique

Les blocs IP de Cloudflare peuvent changer, alors on va automatiser la mise à jour chaque semaine :

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Configurer le fuseau horaire

Le fuseau horaire par défaut est probablement UTC. Passe-le sur ton fuseau horaire local, c’est beaucoup plus pratique pour relire les logs :

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Optionnel] Activer les mises à jour de sécurité automatiques

Laisse le système installer les correctifs de sécurité tout seul, ça t’évite d’avoir à le faire à la main à chaque fois :

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Choisis « Yes » pour activer les mises à jour automatiques.

💡 Cette fonctionnalité installe uniquement les mises à jour de sécurité, elle ne fait pas monter de version majeure automatiquement, donc c’est plutôt safe.

4. Bilan

Checklist de fin d’initialisation

Une fois toutes ces configs en place, utilise cette checklist pour vérifier que tout est bon :

Élément à vérifier	Commande	Résultat attendu
Système à jour	`apt update && apt list --upgradable`	Aucun paquet à mettre à jour
L’utilisateur standard peut utiliser sudo	`sudo whoami`	Sortie `root`
Connexion par clé OK	`ssh yourname@ip -p port`	Connexion sans mot de passe
Connexion par mot de passe désactivée	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
Port SSH modifié	`grep Port /etc/ssh/sshd_config`	Le port que tu as défini
Pare-feu activé	`ufw status`	`Status: active`
BBR activé	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban en cours d’exécution	`systemctl status fail2ban`	`active (running)`
Fuseau horaire configuré	`timedatectl`	Asia/Shanghai ou ton fuseau horaire
SSH Config local	`cat ~/.ssh/config`	Alias du serveur configuré

Emplacement des fichiers clés

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Bonnes pratiques de sécurité

Mettre à jour le système régulièrement : apt update && apt upgrade
Vérifier régulièrement les logs de connexion : lastb (connexions échouées), last (connexions réussies)
Garder un œil sur les bannissements de fail2ban
Toujours sauvegarder les fichiers de configuration importants avant de les modifier

5. Journal des anomalies

Q1 : Échec de la connexion par clé, le mot de passe est toujours demandé ?

Causes possibles :

Problème de permissions (le plus courant)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Clé publique mal copiée

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Interférence de SELinux (sur les systèmes CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2 : Plus moyen de se connecter après avoir changé le port ?

Étapes de dépannage :

Vérifie que le nouveau port est bien ouvert dans le pare-feu :
1
ufw status | grep 你的端口
Vérifie que la configuration SSH est correcte :
1
grep Port /etc/ssh/sshd_config
Vérifie que le service SSH tourne bien :
1
systemctl status sshd
Si tu n’as vraiment plus aucun accès, utilise la console VNC de ton fournisseur pour te connecter et réparer ça.

Q2.5 : Le changement de port ne prend tout simplement pas effet ? (Serveurs légers du cloud)

Symptôme : tu as modifié /etc/ssh/sshd_config, mais après avoir relancé le service, le port 22 est toujours là et le nouveau port ne marche pas.

Méthode de diagnostic :

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Si tu obtiens un résultat qui ressemble à ça :

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Cela signifie que le port 22 est surveillé par init (PID 1), et non par le processus sshd.

Pourquoi ? Chez certains hébergeurs, le SSH des « serveurs d’application légers » ou des « instances de conteneurs » passe par un proxy géré par la plateforme. Du coup, la configuration de sshd sur ton serveur n’a aucun effet.

La solution :

Type d’instance	Comment modifier le port SSH
ECS classique	Modifier sshd_config ✅
Serveur léger	Souvent à modifier depuis la console du cloud, ou pas supporté du tout
Instance de conteneur	Généralement pas modifiable

Si ton instance ne permet pas de changer le port, les autres mesures de sécurité deviennent encore plus cruciales :

✅ Créer un utilisateur standard + désactiver le login root
✅ Connexion SSH par clé + désactiver l’authentification par mot de passe
✅ fail2ban pour bloquer le brute-force

Si tu appliques tout ça correctement, ton niveau de sécurité reste excellent.

Q3 : fail2ban m’a bloqué moi-même ?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4 : UFW activé, et plus d’accès au site ?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5 : La commande indique que sudo est introuvable ?

L’installation minimale de Debian n’inclut pas toujours sudo. Installe-le en tant que root :

1 2	apt install sudo usermod -aG sudo ittinker

6. Script d’initialisation en un clic (à utiliser une fois à l’aise)

Si tu as bien en tête toutes les étapes ci-dessus, tu peux utiliser ce script pour initialiser ton serveur en un clin d’œil.

⚠️ Attention : avant de lancer le script, assure-toi d’avoir déjà ta clé publique SSH sous la main.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Une fois tout ça en place, c’est quoi le gain de sécurité ?

Étape	Ce qu’on a fait	Pourquoi c’est important
Mettre à jour le système	Installer les derniers patchs	Corriger les failles connues
Créer un nouvel utilisateur	Ne plus utiliser root directement	Réduire le risque de mauvaises manip
Clés SSH	Remplacer les mots de passe par des clés	Impossible à cracker par force brute
Changer le port	Ne plus utiliser le port 22 par défaut	Moins de chances de se faire scanner
Désactiver le mot de passe	N’autoriser que la connexion par clé	Stop net aux attaques sur les mots de passe
Désactiver root	root ne peut plus se connecter directement	On complique la tâche des attaquants
Pare-feu UFW	N’ouvrir que les ports nécessaires	Réduire la surface d’attaque
Accélération BBR	Optimiser les perfs réseau	Booster la vitesse d’accès
fail2ban	Bannir automatiquement les IP malveillantes	Bloquer les attaques récurrentes

Une fois que t’as fait tout ça, ton serveur est déjà plus sécurisé que 90 % des VPS.

Prochain article

Dans le prochain épisode, on attaque le guide express pour configurer la connexion par clé SSH, avec plus de détails sur :

Comment générer des clés selon ton système
Gérer plusieurs clés
Configurer SSH Agent
Régler les clients SSH les plus courants

Article mis à jour pour la dernière fois : janvier 2026

Série « Boîte à outils du développeur indépendant », abonne-toi !

Jam pertama setelah VPS jatuh ke tangan: panduan lengkap dari bare metal jadi aman dan siap pakai (biar OpenClaw-mu makin aman)

2026-01-21T11:51:00.000Z

VPS baru beli itu ibarat pintu yang gak dikunci, anak-anak script kiddie dari seluruh dunia lagi nyoba ngetuk. Artikel ini bakal ngajarin kamu buat ngunci pintu itu rapat. Biar “lobak laut” (openclaw) kamu gak kabur ke mana-mana dan nggak ngelakuin hal aneh-aneh.

0. Sekilas Pengantar

Baru aja beli VPS, keburu semangat ngedapetin IP dan password root, terus apa lagi nih?

Kebanyakan orang langsung ngelakuin ini: buru-buru install software, langsung deploy proyek.

Ini kebiasaan yang bahaya.

VPS kamu punya IP publik, artinya siapa aja di seluruh dunia bisa nyoba nyambungin ke situ. Dan dengan konfigurasi default-nya:

Port 22-nya kebuka untuk umum
Username-nya root yang udah rahasia umum
Cuma nyisain satu password buat jadi penjaga

Setiap hari ada banyak banget skrip otomatis yang nyiap-nyiap IP, nyoba brute-force pake password-password umum. Dari detik pertama server kamu online, itu udah pada nyerang.

Jadi, hal pertama yang harus kamu lakuin abis dapet VPS bukan install software, tapi ngelakuin inisialisasi keamanan.

1. Target yang Dicapai

Target dari artikel ini adalah:

✅ Bangun akses remote yang aman: login SSH pakai key + bukan port default
✅ Bikin user biasa: hindari pakai root langsung
✅ Setup firewall: buka port yang perlu aja
✅ Aktifkan akselerasi jaringan: BBR bikin koneksi makin ngebut
✅ Cegah brute force: fail2ban auto-blokir IP jahat

Kalau semua udah beres, VPS kamu punya fondasi yang kuat buat deploy macem-macem service dengan tenang.

2. Rencana & Pemikiran

Kenapa mesti setup gini?

VPS yang baru dibeli itu ibarat rumah kosongan baru diserahin:

Kondisi Default	Risiko	Solusi Kita
Login langsung root	Hak akses kelewat besar, risiko fatal kalau salah klik	Bikin user biasa + sudo
Login pakai password	Rawan di-brute force	Login pakai SSH Key
Port default 22	Jadi incaran scanner	Ganti ke port non-standar
Firewall dimatikan	Semua port terekspos ke luar	UFW: cuma buka port yang dipakai
Jaringan bawaan	Packet loss tinggi, latency besar	Algoritma kontrol kongesti BBR

Alur Kerja Keseluruhan

Kita ngopreknya ngikut urutan ini, dan di tiap langkah aku jelasin kenapa kita lakuin begini.

3. Langkah-langkah Eksekusi

Dapetin IP Server

Setelah beli VPS, provider bakal ngasih kamu:

Alamat IP: contohnya 192.168.1.100
Port: biasanya 22 (beberapa provider kadang ubah ke port lain)
Username: umumnya root
Password: deretan karakter acak yang sudah di-generate

Koneksi SSH

Pengguna Mac / Linux: buka Terminal, langsung ketik:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Pengguna Windows:

Windows 10/11 udah bawaan OpenSSH, jadi kamu bisa langsung pakai perintah di atas di PowerShell atau CMD
Atau pakai tools kayak Termius, MobaXterm, dll.

Saat pertama kali connect, nanti muncul prompt konfirmasi fingerprint kayak gini:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Intinya dia nanya: “Aku belum kenal mesin ini, kamu yakin mau connect?”

Ketik yes lalu tekan Enter. Terus masukkan password (catatan: pas ngetik nggak ada karakter yang muncul, ini fitur keamanan normal kok), lalu Enter.

Kalau kamu lihat prompt kayak gini, berarti login berhasil:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Kenapa harus cek fingerprint?
Ini untuk mencegah “serangan man-in-the-middle”. Saat pertama kali connect, catat fingerprint server. Nanti kalau pas connect lagi fingerprint-nya berubah, berarti ada kemungkinan orang lain menyamar sebagai server kamu.

Kenalan dengan server kamu

Setelah login, cek dulu kondisi dasar mesin ini:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Catat info-info ini, nanti berguna banget buat nge-trouble shooting kalau ada masalah.

Update sistem

Sudah ngerti kondisi servernya? Langkah pertama yang paling penting adalah update sistem. Image sistem di server baru mungkin masih versi dari beberapa bulan lalu, dan bisa jadi sudah ada patch keamanan yang rilis sejak itu:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Penjelasan parameter:

apt update: Update indeks paket software
apt full-upgrade: Upgrade semua software, termasuk kernel
-y: Auto-confirm, jadi nggak perlu ketik “yes” manual
apt autoremove: Hapus dependency yang udah nggak kepakai
apt autoclean: Bersihin cache installer yang udah di-download

⏱️ Langkah ini mungkin butuh beberapa menit, tergantung seberapa banyak update-nya. Kadang di tengah-tengah ada konfirmasi, tinggal ikutin aja arahannya.

Cek apakah perlu reboot

Setelah update kernel, biasanya butuh reboot biar perubahannya berlaku:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Kalau ada notifikasi untuk reboot:

reboot

Setelah reboot, kamu perlu connect SSH lagi.

Install tools yang sering dipakai

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Fungsi tools ini buat apa sih:

Tool	Fungsi
`sudo`	Bikin user biasa jalanin command admin
`curl` / `wget`	Download file
`git`	Version control
`vim`	Text editor
`htop`	Process monitor yang lebih cakep
`tree`	Tampilin struktur direktori pohon
`net-tools`	Network tools (ifconfig, netstat, dll)
`ufw`	Firewall simpel dan gampang dipakai
`fail2ban`	Anti brute-force
`neofetch`	Tampilin info sistem dengan cakep

3.2 Membuat user non-root

Kenapa nggak langsung pakai root?

Izin user root itu terlalu luas, sedikit salah klik rm -rf / semua bisa hilang seketika. Untuk operasi sehari-hari, mendingan pakai user biasa. Kalau butuh izin admin, baru gunakan sudo.

Lobster (openclaw) itu ibarat monster, masa sih berani kasih akses root ke dia?

Membuat user

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Sistem bakal minta kamu buat set password dan ngisi beberapa info:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Ngasih izin sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Coba dicek dulu:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Kalau output-nya root, berarti konfigurasi sudo-nya udah berhasil.

💡 Tips Kecil
Ketik exit buat balik lagi ke user root. Untuk langkah-langkah selanjutnya, kita tetap pakai root buat konfigurasi, nanti setelah kelar baru balik lagi ke user biasa.

Autentikasi Key vs Autentikasi Password

Autentikasi pakai key jauh lebih aman dibanding password:

Password bisa di-brute force, tapi key nyaris mustahil
Nggak perlu input password tiap kali login, jauh lebih praktis
Biarpun password bocor, selama nggak punya private key tetep nggak bakal bisa login

Langkah 1: Bikin pasangan key di lokal

Jalankan ini di komputer kamu (bukan di server):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Nanti bakal muncul prompt kayak gini:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Tinggal tekan Enter aja buat pakai path default. Di sini kita pakai ./ittinker, artinya filenya bakal disimpen di folder saat ini dengan nama ittinker.

1	Enter passphrase (empty for no passphrase):

Kamu bisa set passphrase buat kunci ini (bikin ada lapisan keamanan ekstra), atau langsung tekan Enter buat dikosongin.

Setelah selesai dibikin, kamu bakal nemu dua file di direktori ~/.ssh/ (ini nama file default-nya kalau tadi kamu tekan Enter):

id_ed25519: Private key, jangan sampai bocor ke siapa pun ya!
id_ed25519.pub: Public key, ini yang harus di-upload ke server.

💡 ed25519 vs RSA
ed25519 ini algoritma yang paling direkomendasiin sekarang. Dibanding RSA jadul, ini lebih aman dan ukuran kuncinya lebih pendek. Tapi kalau sistem kamu terlalu lawas dan belum mendukung, bisa pakai ssh-keygen -t rsa -b 4096.

Sedikit trivia: kunci yang dibikin ed25519 itu ukurannya kecil, sedangkan file RSA itu gedean banget. Waktu itu aku tanya ke AI baru tau, ternyata ukuran file nggak masalah, itu cuma beda algoritma aja.

Langkah Kedua: Upload Public Key ke Server

Cara A: Pakai ssh-copy-id (Direkomendasiin)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Setelah masukin password, public key bakal otomatis tersalin ke server.

Cara B: Salin Manual

Kalau ssh-copy-id nggak bisa dipakai, kamu bisa ngelakuinnya secara manual:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Copy isi output-nya (teks panjang yang diawali dengan ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Permission itu penting banget!
SSH itu ketat soal permission file:
Direktori .ssh: 700 (cuma user sendiri yang bisa akses)
File authorized_keys: 600 (cuma user sendiri yang bisa baca dan tulis)
Kalau permission-nya nggak pas, SSH bakal nolak buat login pake kunci.

Buka jendela terminal baru (biarin jendela lama tetap kebuka, jangan ditutup, jaga-jaga kalau konfigurasinya salah masih bisa dibenerin), terus coba tes login pake kunci:

1	ssh ittinker@你的服务器IP

Kalau kamu bisa login tanpa dimintain password, berarti konfigurasi kuncinya udah berhasil! 🎉

(Mungkin kamu bakal dimintain password kunci kalau tadi nyetting passphrase buat private key-nya, ini normal kok)

Di sini kita nambahin parameter -i, soalnya kunci ini bukan disimpen di path default, tapi di path saat ini. Kalau nggak ditentuin, sistem bakal make kunci default.

3.4 Ngerapatkan Keamanan SSH

Sekarang login pake kunci udah jalan, ayo kita keraskan keamanan SSH-nya:

Ubah port default (biarin nggak gampang ke-scan)
Matiin login pake password
Larang root buat login langsung

Edit konfigurasi SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Cari dan ubah konfigurasi berikut (beberapa mungkin di-comment, jadi hapus tanda # di depannya):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Simpan dan keluar (ctrl + o).

Di Nano, cara simpannya tekan ctrl + o, nanti bakal dimintain nama file, langsung tekan Enter aja. Kalau mau keluar, tekan ctrl + x.

Restart service SSH

1	systemctl restart sshd.service

⚠️ Penting!
Jangan tutup terminal yang sekarang! Tes dulu konfigurasi barunya di jendela baru, bisa login normal nggak:
1
ssh -p 22000 yourname@你的服务器IP
Kalau bisa login, baru tutup jendela yang lama. Kalau nggak bisa masuk, kamu masih bisa perbaiki konfigurasinya di jendela lama.

Kalau kamu beli server tipe lightweight, kemungkinan besar port ini nggak bisa diganti. Kalau ECS tradisional biasanya bisa diubah, jadi perhatikan ya.

3.5 Setup Firewall UFW

UFW (Uncomplicated Firewall) itu tool firewall bawaan Ubuntu, settingnya gampang tapi fiturnya powerful.

Konfigurasi dasar

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Aktifkan firewall

1	ufw enable

Nanti muncul prompt kayak gini:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Ketik y buat konfirmasi.

Cek status

1	ufw status verbose

23022 itu typo saya, kalian sesuaikan saja pakai nilai masing-masing ya

Output-nya kira-kira begini:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Cheat Sheet Perintah yang Sering Dipakai

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Mengaktifkan BBR untuk Mempercepat Koneksi

BBR (Bottleneck Bandwidth and Round-trip propagation time) itu algoritma kontrol kemacetan TCP buatan Google, bisa ningkatin performa jaringan kamu secara signifikan.

Aktifkan Sekali Klik

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Cek Apakah Sudah Aktif

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Output-nya harusnya:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Output-nya kira-kira begini:

1	tcp_bbr 20480 3

💡 Efek BBR
Setelah BBR aktif, apalagi kalau jaringannya lagi nggak stabil atau ping-nya tinggi, kamu bakal langsung ngerasain:
Kecepatan download makin ngebut
Operasi SSH jadi lebih mulus
Loading halaman web jadi lebih cepat

3.7 Setup fail2ban buat Cegah Brute Force

fail2ban ini bakal ngawasin log server kamu, kalau nemu IP yang gagal login berkali-kali, bakal otomatis di-ban.

Konfigurasi Dasar

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Cari bagian [sshd], pastikanin konfigurasinya kayak gini:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Menjalankan service

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Cek status

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Output-nya kira-kira kayak gini:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Perintah yang sering dipakai

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Opsional] Kelola banyak server pakai SSH Config

Kalau kamu punya banyak server, capek banget kan harus ketik ssh -p 22000 user@ip tiap kali mau connect? Kamu bisa sederhanain pakai SSH Config.

File konfigurasi

Edit ~/.ssh/config di komputer lokal kamu:

1	vim ~/.ssh/config

Tambahin konfigurasi ini:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Cara pakainya

Sekarang kamu bisa langsung connect pakai alias:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Gak perlu lagi pusing hafalin IP, port, atau username!

3.9 [Opsional] Izinin akses cuma dari Cloudflare

Kalau web kamu sepenuhnya ada di belakang Cloudflare, kamu bisa atur biar port 80/443 cuma bisa diakses oleh IP Cloudflare. Ini bakal nambah lapisan keamanan ekstra.

⚠️ Catatan: Konfigurasi ini wajib domain kamu udah diarahin ke Cloudflare CDN dulu.

Script konfigurasi otomatis

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Script ini bakal:

Ambil rentang IP terbaru langsung dari Cloudflare
Tambahkan aturan UFW, cuma izinin IP ini buat akses port 80/443
Reload UFW

Atur pembaruan otomatis

Rentang IP Cloudflare bisa berubah, jadi atur saja biar auto-update tiap minggu:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Atur zona waktu

Zona waktu default-nya kemungkinan UTC. Ubah ke zona waktu lokalmu biar gampang pas baca log:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Opsional] Atur auto security update

Biar sistem otomatis pasang security patch, repot banget kalau harus manual terus:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Pilih “Yes” buat aktifin auto-update.

💡 Fitur ini otomatis pasang security update doang, nggak akan otomatis upgrade ke major version yang baru, jadi lumayan aman.

4. Kesimpulan

Checklist inisialisasi

Setelah kelar ngelakuin konfigurasi di atas, cek sekali lagi pakai checklist ini:

Hal yang Dicek	Perintah	Hasil yang Diharapkan
Sistem sudah di-update	`apt update && apt list --upgradable`	Tidak ada paket yang bisa di-upgrade
User biasa bisa sudo	`sudo whoami`	Output `root`
Login pakai SSH key berfungsi	`ssh yourname@ip -p port`	Login tanpa perlu password
Login pakai password sudah dimatikan	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
Port SSH sudah diganti	`grep Port /etc/ssh/sshd_config`	Port yang kamu set sendiri
Firewall sudah aktif	`ufw status`	`Status: active`
BBR sudah diaktifkan	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban sedang berjalan	`systemctl status fail2ban`	`active (running)`
Zona waktu sudah diatur	`timedatectl`	Asia/Shanghai atau zona waktu kamu
SSH Config lokal	`cat ~/.ssh/config`	Alias server sudah dikonfigurasi

Lokasi File Penting

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Praktik Keamanan Terbaik

Update sistem secara rutin: apt update && apt upgrade
Cek log login secara berkala: lastb (login gagal), last (login berhasil)
Pantau status ban dari fail2ban
Backup dulu file konfigurasi penting sebelum diubah

5. Catatan Masalah

Kemungkinan penyebabnya:

Masalah izin (paling sering terjadi)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Public key tidak tersalin dengan benar

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Interferensi SELinux (di sistem CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: Setelah ganti port, tiba-tiba nggak bisa konek?

Langkah pengecekan:

Pastikan port baru sudah dibuka di firewall:
1
ufw status | grep 你的端口
Pastikan konfigurasi SSH sudah benar:
1
grep Port /etc/ssh/sshd_config
Pastikan service SSH sedang berjalan:
1
systemctl status sshd
Kalau bener-bener nggak bisa konek sama sekali, gunakan VNC/konsol dari penyedia cloud kamu untuk login dan memperbaikinya.

Q2.5: Ganti port tapi sama sekali nggak berlaku? (Server Lite cloud provider)

Gejala: Udah ubah /etc/ssh/sshd_config, tapi setelah service direstart port 22 masih aktif dan port barunya nggak kunjung berlaku.

Cara diagnosa:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Kalau outputnya mirip kayak gini:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Berarti port 22 masih didengarkan oleh init (PID 1), bukan oleh proses sshd.

Alasannya: SSH di “Light Application Server” atau “Container Instance” dari sebagian cloud provider di-proksi langsung di tingkat platform, jadi konfigurasi sshd di dalam server kamu nggak akan berefek.

Solusinya:

Tipe Instance	Cara Ganti Port SSH
ECS Tradisional	Edit sshd_config ✅
Light Server	Mungkin harus diubah via console cloud, atau malah nggak didukung sama sekali
Container Instance	Biasanya nggak didukung untuk diganti

Kalau instance kamu nggak mendukung ganti port, langkah keamanan lain jauh lebih penting:

✅ Bikin user biasa + matikan login root
✅ Login pakai SSH key + matikan login pakai password
✅ Pakai fail2ban buat nangkal brute force

Kalau langkah-langkah ini udah di-handle dengan bener, keamanan server kamu tetap terjaga kok.

Q3: fail2ban malah nge-blok IP sendiri?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Setelah UFW diaktifin, web jadi nggak bisa diakses?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: Pas ngejalanin command malah ketemu error “sudo not found”?

Debian minimal install kadang nggak include sudo, jadi install dulu pake root:

1 2	apt install sudo usermod -aG sudo ittinker

6. Script inisialisasi sekali jalan (dipake kalau udah paham)

Kalau kamu udah paham dan terbiasa sama langkah-langkah di atas, tinggal pake script ini buat inisialisasi server dengan cepat.

⚠️ Catatan: Sebelum menjalankan skrip, pastikan kamu sudah siapin SSH public key-nya ya.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Setelah ngelakuin semua ini, seberapa aman sih server-nya?

Langkah	Apa yang dilakukan	Kenapa penting
Update sistem	Install patch terbaru	Nutup celah keamanan yang udah diketahui
Bikin user baru	Ngga langsung pake root lagi	Ngurangin risiko salah ketik/klik
SSH Key	Ganti password pake kunci	Anti di-brute force
Ganti port	Ngumpet dari port default 22	Ngurangin peluang ke-scan
Matikan login password	Cuma boleh login pake kunci	Stop serangan password secara total
Matikan root	Root ngga bisa langsung login	Bikin penyerang susah masuk
Firewall UFW	Buka port yang penting aja	Ngurangin titik rawan serangan
BBR Acceleration	Optimalkan performa jaringan	Bikin akses makin ngebut
fail2ban	Auto-banned IP jahat	Nangkal serangan yang terus-terusan

Kalau semua langkah di atas udah kamu lakuin, tingkat keamanan server kamu udah ngalahin 90% VPS lain di luar sana.

Sneak Peek Artikel Selanjutnya

Di artikel selanjutnya kita bakal bahas Cepat Setup SSH Key Login, bakal dibahas lebih detail nih:

Cara bikin kunci di berbagai sistem operasi
Manajemen beberapa kunci sekaligus
Setup SSH Agent
Settingan SSH client yang sering dipake

Artikel ini terakhir diperbarui: Januari 2026

Seri kotak peralatan indie developer, follow yuk!

Il primo ora con la tua VPS: guida completa da macchina nuda a server sicuro e pronto (per rendere più sicuro il tuo OpenClaw)

2026-01-21T11:51:00.000Z

Un VPS appena acquistato è come una porta senza serratura, con script kiddie di tutto il mondo che bussano alla porta. Questo articolo ti guida a mettere una bella serratura. Così il tuo “gamberetto” (openclaw) non se ne va in giro a combinare guai.

0. Prima di iniziare

Hai appena preso un VPS, tutto gasato con IP e password di root in mano, e poi?

L’approccio di molti è: partire subito a installare roba e deployare progetti.

È un’abitudine pericolosa.

Il tuo VPS ha un IP pubblico, il che significa che chiunque nel mondo può provare a connettersi. E nella configurazione di default:

La porta esposta è la 22
L’utente è il classico root
A proteggerti è rimasta solo una password

Ogni giorno un’infinità di script automatizzati scansiona interi range di IP, provando a forzare l’accesso con password comuni. Il tuo server è già sotto attacco dal momento esatto in cui va online.

Quindi, la primissima cosa da fare appena ottenuto un VPS non è installare software, ma eseguire l’hardening iniziale.

1. L’obiettivo

L’obiettivo di questo articolo è:

✅ Metti in piedi un accesso remoto sicuro: login con chiave SSH + porta non di default
✅ Crea un utente normale: evita di usare direttamente root
✅ Configura il firewall: apri solo le porte strettamente necessarie
✅ Attiva l’accelerazione di rete: con BBR la connessione decolla
✅ Blocca i tentativi di brute-force: fail2ban banna in automatico gli IP malevoli

Fatto tutto questo, il tuo VPS avrà una base solida e potrai distribuire i tuoi servizi in tutta tranquillità.

2. Pianificazione e ragionamento

Perché fare tutte queste configurazioni?

Un VPS appena acquistato è come un appartamento appena consegnato, grezzo e da sistemare:

Situazione di default	Rischio	La nostra soluzione
Login diretto con root	Troppi permessi, rischio altissimo se sbagli	Creare un utente normale + sudo
Login con password	Vulnerabile a attacchi brute-force	Login con chiave SSH
Porta 22 di default	Primo bersaglio degli scanner	Cambiare a una porta non standard
Firewall disattivato	Tutte le porte esposte	UFW: aprire solo le porte necessarie
Rete nativa	Tasso di packet loss alto, latenza elevata	Algoritmo di controllo della congestione BBR

Flusso generale

Seguiamo esattamente quest’ordine, e ti spiego il perché di ogni passaggio man mano che andiamo avanti.

3. Passaggi operativi

3.1 Primo accesso e aggiornamento del sistema

Recuperare l’IP del server

Dopo aver comprato il VPS, il provider ti darà:

Indirizzo IP: ad esempio 192.168.1.100
Porta: di solito è 22 (alcuni provider potrebbero usarne una diversa)
Username: di solito è root
Password: una stringa di caratteri generata casualmente

Connessione SSH

Utenti Mac / Linux: aprite il terminale e digitate direttamente:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Utenti Windows:

Windows 10/11 ha OpenSSH già integrato, quindi potete usare lo stesso comando direttamente in PowerShell o CMD
In alternativa, potete appoggiarvi a tool come Termius o MobaXterm

Al primo accesso vi imbatterete in un avviso per confermare l’impronta digitale:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

In pratica vi sta chiedendo: «Non conosco questa macchina, sei sicuro di volerti connettere?»

Digitate yes e premete Invio. Poi inserite la password (attenzione: mentre la digitate non comparirà nessun carattere a schermo, è una normale misura di sicurezza) e premete di nuovo Invio.

Se vi ritrovate davanti a un prompt simile a questo, il login è andato a buon fine:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Perché verificare l’impronta digitale?
Serve a prevenire gli attacchi “man-in-the-middle”. Al primo accesso ti segni l’impronta digitale del server: se in futuro dovesse cambiare, significa che qualcuno potrebbe star fingendo di essere il tuo server.

Prendi confidenza con il tuo server

Appena fatto login, diamo un’occhiata alle informazioni di base di questa macchina:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Tieni a mente queste info, ti torneranno utili più avanti per risolvere eventuali problemi.

Aggiornamento del sistema

Dopo aver controllato le info del server, la prima cosa seria da fare è aggiornare il sistema. L’immagine di sistema di un server nuovo potrebbe risalire a qualche mese fa, e nel frattempo potrebbero essere usciti dei patch di sicurezza:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Spiegazione dei parametri:

apt update: aggiorna l’indice dei pacchetti
apt full-upgrade: aggiorna tutti i software, kernel compreso
-y: conferma automatica, così non devi digitare yes a mano
apt autoremove: rimuove le dipendenze che non servono più
apt autoclean: pulisce la cache dei pacchetti di installazione scaricati

⏱️ Questo passaggio potrebbe richiedere qualche minuto, dipende da quanti aggiornamenti ci sono. Se ogni tanto ti chiede conferma, praticamente basta seguire la sua logica e vai tranquillo.

Controlla se serve un riavvio

Dopo un aggiornamento del kernel, in genere serve un riavvio per farlo andare effettivamente:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Se ti dice che serve riavviare:

reboot

Dopo il riavvio dovrai riconnetterti via SSH.

Installa gli strumenti di uso comune

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

A cosa servono 'sti attrezzi:

Strumento	Uso
`sudo`	Permette agli utenti normali di eseguire comandi come amministratore
`curl` / `wget`	Scaricare file
`git`	Controllo versione
`vim`	Editor di testo
`htop`	Monitor dei processi più carino
`tree`	Mostra la struttura delle directory ad albero
`net-tools`	Strumenti di rete (ifconfig, netstat, ecc.)
`ufw`	Firewall semplice e facile da usare
`fail2ban`	Protezione contro il brute-force
`neofetch`	Mostra le informazioni di sistema in modo carino

3.2 Creare un utente non root

Perché non usare direttamente root?

I permessi dell’utente root sono troppo ampi: un semplice errore di distrazione con rm -rf / e saluta tutto. Per le operazioni di tutti i giorni usa un utente normale; quando ti servono i privilegi di amministratore, basta lanciare sudo.

L’aragosta (openclaw) è una bestia, mica posso darle l’accesso root!

Creare l’utente

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Il sistema ti chiederà di impostare una password e qualche altra informazione:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Assegnare i privilegi sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Facciamo una verifica:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Se l’output è root, significa che sudo è configurato correttamente.

💡 Dritta
Se digiti exit torni all’utente root. Per le prossime configurazioni continuiamo a usare root, poi, a lavoro finito, passeremo al nostro utente normale.

Autenticazione a chiave vs autenticazione a password

L’autenticazione a chiave è molto più sicura della password:

Le password possono subire attacchi brute force, le chiavi praticamente impossibili
Niente più password da digitare ogni volta, molto più comodo
Anche se la password venisse compromessa, senza la chiave privata non entra nessuno

Passaggio 1: generare la coppia di chiavi in locale

Esegui sul tuo computer (non sul server):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Ti verrà chiesto:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Premi direttamente Invio per usare il percorso predefinito. Noi qui abbiamo usato ./ittinker, che significa semplicemente salvare il file nella directory corrente con il nome ittinker.

1	Enter passphrase (empty for no passphrase):

Puoi impostare una password per la chiave (uno strato extra di protezione) oppure premere direttamente Invio per lasciare vuoto.

Una volta completata la generazione, troverai due file nella directory ~/.ssh/ (qui sotto ci sono i nomi predefiniti, se hai premuto Invio prima verranno chiamati così):

id_ed25519: la chiave privata, non deve mai assolutamente finire in mani sbagliate!
id_ed25519.pub: la chiave pubblica, da caricare sul server

💡 ed25519 vs RSA
ed25519 è l’algoritmo attualmente consigliato, più sicuro e con chiavi più corte rispetto al tradizionale RSA. Se il tuo sistema è troppo vecchio e non lo supporta, puoi usare ssh-keygen -t rsa -b 4096.

Un piccolo dettaglio: le chiavi generate con ed25519 sono più piccole, mentre i file RSA sono grandi. L’ho chiesto all’AI e ho scoperto che le dimensioni non contano, dipende solo dal tipo di algoritmo.

Passaggio due: carica la chiave pubblica sul server

Metodo A: usa ssh-copy-id (consigliato)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Dopo aver inserito la password, la chiave pubblica verrà copiata automaticamente sul server.

Metodo B: copia manuale

Se ssh-copy-id non è disponibile, puoi farlo manualmente:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Copia l’output (una lunga stringa di testo che inizia con ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ I permessi sono fondamentali!
SSH è molto pignolo sui permessi dei file:
.ssh directory: 700 (accessibile solo dal tuo utente)
authorized_keys file: 600 (leggibile e scrivibile solo dal tuo utente)
Se i permessi non sono esatti, SSH rifiuterà di usare la chiave per il login.

Apri una nuova finestra del terminale (non chiudere quella originale, così se sbagli qualcosa puoi sempre rimediare) e testa il login con la chiave:

1	ssh ittinker@你的服务器IP

Se riesci ad accedere senza inserire la password, la configurazione della chiave è andata a buon fine! 🎉

(Se hai impostato una passphrase per la chiave privata, ti verrà chiesta: è del tutto normale)

Qui abbiamo aggiunto il parametro -i perché questa chiave non si trova nel percorso predefinito, ma nella directory corrente. Se non lo specifichi, il sistema userà la chiave di default.

3.4 Rafforzare la sicurezza di SSH

Ora che il login con la chiave funziona, andiamo a blindare un po’ la configurazione SSH:

Cambia la porta predefinita (così eviti le scansioni automatiche)
Disabilita il login con password
Impedisci il login diretto come root

Modifica il file di configurazione SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Trova e modifica le seguenti impostazioni (alcune potrebbero essere commentate, rimuovi il # all’inizio):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Salva ed esci (ctrl + o).

Con Nano, per salvare premi ctrl + o: ti chiederà di confermare il nome del file, premi semplicemente Invio. Per uscire, invece, ctrl + x.

Riavvia il servizio SSH

1	systemctl restart sshd.service

⚠️ Attenzione!
Non chiudere il terminale attuale! Prima di farlo, apri una nuova finestra e verifica se riesci ad accettare con la nuova configurazione:
1
ssh -p 22000 yourname@你的服务器IP
Se il login va a buon fine, puoi chiudere la vecchia finestra. Se non riesci a entrare, puoi comunque correggere la configurazione dalla sessione precedente.

Se hai acquistato un server leggero, è molto probabile che questa porta non sia modificabile. I classici ECS lo permettono, quindi fai attenzione.

3.5 Configura il firewall UFW

UFW (Uncomplicated Firewall) è lo strumento firewall predefinito di Ubuntu: facile da configurare, ma molto potente.

Configurazione di base

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Abilita il firewall

1	ufw enable

Ti verrà mostrato questo prompt:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Digita y per confermare.

Verifica lo stato

1	ufw status verbose

23022 è un refuso mio, regolatevi in base alla vostra situazione reale

Output tipo:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Cheat sheet dei comandi principali

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Attiva l’accelerazione BBR

BBR (Bottleneck Bandwidth and Round-trip propagation time) è un algoritmo di controllo della congestione TCP sviluppato da Google, in grado di migliorare nettamente le prestazioni di rete.

Attivazione con un clic

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Verifica che sia attivo

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

L’output dovrebbe essere:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Output tipo:

1	tcp_bbr 20480 3

💡 L’effetto di BBR
Una volta attivato BBR, soprattutto in ambienti con rete instabile o latenza elevata, noterai chiaramente:
Download più veloci
Operazioni SSH più fluide
Caricamento delle pagine più rapido

3.7 Configura fail2ban per difenderti dai brute-force

fail2ban monitora i log e banna automaticamente gli IP dopo ripetuti tentativi di login falliti.

Configurazione di base

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Trova la sezione [sshd] e assicurati di avere questa configurazione:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Avvia i servizi

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Controlla lo stato

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

L’output sarà simile a questo:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Comandi utili

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Opzionale] Gestire più server con SSH Config

Se hai più server, digitare ssh -p 22000 user@ip ogni volta è una vera scocciatura. Puoi semplificare tutto usando SSH Config.

File di configurazione

Modifica il file ~/.ssh/config sul tuo computer locale:

1	vim ~/.ssh/config

Aggiungi questa configurazione:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Come usarlo

Ora puoi connetterti direttamente usando l’alias:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Niente più stress a ricordare IP, porte e nomi utente!

3.9 [Opzionale] Consentire l’accesso solo a Cloudflare

Se il tuo sito si trova completamente dietro Cloudflare, puoi impostare le regole del firewall in modo da consentire l’accesso alle porte 80/443 solo agli IP di Cloudflare, mettendo così una bella sicurezza in più.

⚠️ Attenzione: per fare questa configurazione, il tuo dominio deve essere già integrato con la CDN di Cloudflare.

Script di configurazione automatica

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Questo script si occuperà di:

Prendi i range IP ufficiali più recenti direttamente da Cloudflare
Aggiungi le regole UFW per consentire l’accesso alle porte 80/443 solo a questi IP
Ricarica UFW

Impostare l’aggiornamento automatico

I range IP di Cloudflare possono cambiare nel tempo, quindi impostiamo un aggiornamento automatico settimanale:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Impostare il fuso orario

Il fuso orario di default potrebbe essere UTC: cambialo con il tuo per rendere la lettura dei log molto più comoda:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Opzionale] Configurare gli aggiornamenti di sicurezza automatici

Facciamo in modo che il sistema installi da solo le patch di sicurezza, così non devi pensarci ogni volta a mano:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Scegli “Yes” per attivare gli aggiornamenti automatici.

💡 Questa funzione si occupa di installare solo gli aggiornamenti di sicurezza, senza fare il salto a nuove major version. Quindi è abbastanza sicuro.

4. Riepilogo

Checklist di inizializzazione

Finita tutta la configurazione, usa questa checklist per fare un giro di controllo:

Cosa verificare	Comando	Risultato atteso
Sistema aggiornato	`apt update && apt list --upgradable`	Nessun pacchetto da aggiornare
L’utente normale può usare sudo	`sudo whoami`	Output `root`
Login con chiave funzionante	`ssh yourname@ip -p port`	Accesso senza password
Login con password disabilitato	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
Porta SSH modificata	`grep Port /etc/ssh/sshd_config`	La porta che hai impostato
Firewall attivo	`ufw status`	`Status: active`
BBR attivato	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban in esecuzione	`systemctl status fail2ban`	`active (running)`
Fuso orario impostato	`timedatectl`	Asia/Shanghai o il tuo fuso orario
SSH Config locale	`cat ~/.ssh/config`	Alias del server configurato

Posizione dei file chiave

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Best practice di sicurezza

Aggiorna regolarmente il sistema: apt update && apt upgrade
Controlla spesso i log di accesso: lastb (login falliti), last (login riusciti)
Tieni d’occhio i ban di fail2ban
Fai un backup prima di modificare i file di configurazione importanti

5. Troubleshooting

Possibili cause:

Problemi di permessi (il più comune)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Chiave pubblica non copiata correttamente

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Interferenza di SELinux (su sistemi CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: Dopo aver cambiato la porta non riesci più a connetterti?

Passaggi per risolvere:

Assicurati che la nuova porta sia aperta nel firewall:
1
ufw status | grep 你的端口
Verifica che la configurazione di SSH sia corretta:
1
grep Port /etc/ssh/sshd_config
Controlla che il servizio SSH sia in esecuzione:
1
systemctl status sshd
Se non riesci proprio a connetterti, usa la console VNC del tuo provider per accedere e sistemare il problema.

Q2.5: Il cambio di porta non ha proprio effetto? (Server lightweight dei provider cloud)

Sintomo: hai modificato /etc/ssh/sshd_config, ma dopo aver riavviato il servizio la porta 22 risulta ancora aperta e quella nuova non funziona.

Come diagnosticare:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Se l’output è simile a questo:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

significa che la porta 22 è in ascolto da parte di init (PID 1), e non dal processo sshd.

Perché: con alcuni provider cloud, l’SSH dei loro “server applicativi leggeri” o delle “istanze container” passa tramite un proxy a livello di piattaforma, quindi le configurazioni di sshd che fai dentro il tuo server non hanno alcun effetto.

Soluzione:

Tipo di istanza	Come modificare la porta SSH
ECS tradizionale	Modifica sshd_config ✅
Server leggero	Forse va fatto dal pannello di controllo del cloud, oppure non è proprio supportato
Istanza container	Di solito non è supportato

Se la tua istanza non supporta il cambio di porta, le altre misure di sicurezza diventano ancora più importanti:

✅ Creare un utente normale + disabilitare il login root
✅ Login SSH con chiave + disabilitare il login con password
✅ fail2ban per fermare gli attacchi brute-force

Se metti in pratica queste misure, il livello di sicurezza resta comunque molto alto.

Q3: fail2ban mi ha bannato da solo?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Dopo aver attivato UFW il sito non è più raggiungibile?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: Eseguendo un comando mi dice che non trova sudo?

Sull’installazione minimale di Debian potrebbe non esserci sudo, installalo usando root:

1 2	apt install sudo usermod -aG sudo ittinker

6. Script di inizializzazione con un clic (da usare quando hai preso confidenza)

Se hai già familiarità con i passaggi precedenti, puoi usare questo script per inizializzare tutto in un attimo.

⚠️ Attenzione: prima di lanciare lo script, assicurati di avere già pronta la tua chiave pubblica SSH.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Fatto tutto questo, quanto è migliorata la sicurezza?

Passaggio	Cosa abbiamo fatto	Perché è importante
Aggiornamento del sistema	Installazione delle ultime patch	Risolve le vulnerabilità note
Creazione di un nuovo utente	Non usare più direttamente root	Riduce il rischio di errori umani
Chiavi SSH	Sostituzione della password con una chiave	Impossibile da forzare con attacchi brute force
Cambio di porta	Evitare la porta 22 di default	Riduce le probabilità di essere scansionati
Disabilitazione della password	Accesso solo tramite chiave	Elimina alla radice gli attacchi basati su password
Disabilitazione di root	root non può fare login diretto	Alza l’asticella per gli attacchi
Firewall UFW	Apertura solo delle porte necessarie	Riduce la superficie di attacco
Accelerazione BBR	Ottimizzazione delle prestazioni di rete	Aumenta la velocità di accesso
fail2ban	Ban automatico degli IP malevoli	Blocca gli attacchi prolungati

Con questa messa a punto, la sicurezza del tuo server ha già superato quella di 90% dei VPS.

Anteprima del prossimo articolo

Nel prossimo parleremo di Configurazione rapida del login con chiavi SSH, entrando più nel dettaglio su:

Come generare le chiavi sui diversi sistemi operativi
Gestione di chiavi multiple
Configurazione di SSH Agent
Impostazioni dei client SSH più comuni

Ultimo aggiornamento dell’articolo: gennaio 2026

Serie “Cassetta degli attrezzi per indie developer”, seguimi!

VPS मिलते ही पहला घंटा: नंगे सर्वर से सुरक्षित और इस्तेमाल-लायक बनने तक का पूरा इनिशियलाइज़ेशन गाइड (अपने OpenClaw को और सुरक्षित बनाओ)

2026-01-21T11:51:00.000Z

नया खरीदा हुआ VPS बिल्कुल एक बिना ताले का दरवाज़ा है, दुनिया भर के स्क्रिप्ट किड्स इस पर दस्तक दे रहे हैं। ये लेख आपको दरवाज़ा सुरक्षित करना सिखाएगा। ताकि आपका लॉबस्टर (openclaw) यहाँ-वहाँ भागकर शैतानी न करे।

0、शुरुआत से पहले

अभी-अभी एक नया VPS खरीदा है, IP और root पासवर्ड मिलते ही आप उत्साह में हैं, फिर?

ज़्यादातर लोग क्या करते हैं: सीधे सॉफ्टवेयर इंस्टॉल करना और प्रोजेक्ट डिप्लॉय करना शुरू कर देते हैं।

ये एक खतरनाक आदत है।

आपके VPS का एक पब्लिक IP है, मतलब दुनिया में कोई भी इससे कनेक्ट करने की कोशिश कर सकता है। और डिफ़ॉल्ट कॉन्फ़िगरेशन में:

पोर्ट पब्लिक रूप से खुला है 22
यूज़रनेम सबको पता है: root
बस एक पासवर्ड आपकी सुरक्षा कर रहा है

हर रोज़ अनगिनत ऑटोमेटेड स्क्रिप्ट IP रेंज स्कैन कर रही हैं और आम पासवर्ड से ब्रूट-फ़ोर्स अटैक करने की कोशिश कर रही हैं। आपका सर्वर जिस पल ऑनलाइन होता है, उसी पल से अटैक हो रहा है।

इसलिए, VPS मिलते ही सबसे पहला काम सॉफ्टवेयर इंस्टॉल करना नहीं, बल्कि सुरक्षा सेटअप करना है।

1、हमारा लक्ष्य

इस लेख का लक्ष्य ये है:

✅ Secure remote access सेटअप करना: SSH key लॉगिन + डिफ़ॉल्ट पोर्ट को बदलना
✅ एक नॉर्मल यूज़र बनाना: सीधे root का इस्तेमाल करने से बचें
✅ फ़ायरवॉल कॉन्फ़िगर करना: सिर्फ़ ज़रूरी पोर्ट ही खोलें
✅ नेटवर्क बूस्ट चालू करना: BBR से नेटवर्क को उड़ान दें
✅ ब्रूट-फ़ोर्स अटैक रोकना: fail2ban से खतरनाक IP अपने-आप बैन करें

ये सब कर लेने के बाद, आपके VPS की नींव एकदम मज़बूत हो जाएगी और फिर आप बेफ़िक्र होकर अपनी किसी भी सर्विस को डिप्लॉय कर सकते हैं।

2. प्लान और सोच

ये सब कॉन्फ़िगरेशन करने की ज़रूरत क्यों है?

नया ख़रीदा हुआ VPS बिल्कुल उसी तरह है जैसे किसी नए मकान का खाली कच्चा कमरा:

डिफ़ॉल्ट स्थिति	जोखिम	हमारा समाधान
root यूज़र से सीधे लॉगिन	बहुत ज़्यादा परमिशन, गलती से बड़ा नुक़सान हो सकता है	नया नॉर्मल यूज़र बनाएं + sudo
पासवर्ड से लॉगिन	ब्रूट-फ़ोर्स अटैक हो सकता है	SSH की (key) से लॉगिन
डिफ़ॉल्ट पोर्ट 22	स्कैनर इसे सबसे पहले टारगेट करते हैं	किसी नॉन-स्टैंडर्ड पोर्ट पर शिफ्ट करें
फ़ायरवॉल बंद	सारे पोर्ट बाहर की दुनिया के लिए खुले	UFW से सिर्फ़ ज़रूरी पोर्ट ही खोलें
नेटिव नेटवर्क	पैकेट लॉस ज़्यादा, लेटेंसी भी बढ़ी हुई	BBR कंजेशन कंट्रोल एल्गोरिदम

पूरा प्रोसेस

हम इसी क्रम से सब कुछ सेट अप करेंगे, और हर स्टेप पर मैं आपको बताऊंगा कि ऐसा क्यों कर रहे हैं।

3. ऑपरेशन स्टेप्स

3.1 पहली बार लॉगिन और सिस्टम अपडेट

सर्वर का IP पता लें

VPS ख़रीदने के बाद, आपकी होस्टिंग प्रोवाइडर आपको ये चीज़ें देगी:

IP address: Jaise ki 192.168.1.100
Port: Aam taur par 22 hota hai (kuch providers isse badal dete hain)
Username: Aam taur par root hota hai
Password: Ek randomly generate kiya hua character string

SSH Connection

Mac / Linux users: Terminal kholo, aur direct type karo:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows users:

Windows 10/11 mein OpenSSH pehle se bana hota hai, toh aap upar wala command directly PowerShell ya CMD mein chala sakte ho
Ya fir Termius, MobaXterm jaise tools use kar sakte ho

Pehli baar connect karne par fingerprint confirmation prompt dikhega:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Yeh basically pooch raha hai: “Main is machine ko nahi jaanta, kya tum sure ho ki tumhe isse connect karna hai?”

yes type karo aur Enter dabao. Uske baad password type karo (dhyaan rakhna: type karte waqt screen par kuch nahi dikhega, yeh normal security feature hai), aur Enter dabao.

Agar aapko is tarah ka prompt dikhe, toh iska matlab login successful hai:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Fingerprint confirm kyun zaroori hai?
Yeh “Man-in-the-Middle attack” se bachne ke liye hai. Pehli baar connect karte waqt server ka fingerprint note kar lijiye. Agar baad mein connect karne par fingerprint badal gaya hai, toh iska matlab hai ki shayad koi aapke server ka nakli roop dhaar kar raha hai.

Apne server se pehchaan karein

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Yi sab info yaad rakhiye, aage chal kar koi problem troubleshoot karne time kaam aayegi.

System Update

Server ki info check karne ke baad, sabse pehla kaam hai system ko update karna. Naya server purana image use kar raha ho sakta hai, aur is dauraan kai security patches release ho chuke honge:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Parameters ka matlab:

apt update: Package index update karta hai
apt full-upgrade: Saare software upgrade karta hai, kernel bhi isme shamil hai
-y: Automatically confirm karta hai, manually ‘yes’ type karne ki zaroorat nahi
apt autoremove: Jo dependencies ab zaroorat nahi unhe delete kar deta hai
apt autoclean: Download kiye gaye install packages ke cache ko saaf kar deta hai

⏱️ Is step mein kuch minute lag sakte hain, depend karta hai kitne updates hain. Beech mein kabhi-kabhi confirm karne ko bole toh, basically jo uski logic ho wahi follow kar lijiye.

Reboot zaroorat check karein

Kernel update ke baad aam taur par effect dikhane ke liye reboot karna padta hai:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Agar reboot karne ko kahe:

reboot

Reboot ke baad aapko dobara SSH connection establish karna hoga.

Common tools install karein

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

ये टूल्स किस काम आते हैं:

टूल	काम
`sudo`	सामान्य यूज़र्स को एडमिन कमांड चलाने दें
`curl` / `wget`	फ़ाइलें डाउनलोड करना
`git`	वर्शन कंट्रोल
`vim`	टेक्स्ट एडिटर
`htop`	बेहतरीन लगने वाला प्रोसेस मॉनिटर
`tree`	डायरेक्टरी स्ट्रक्चर ट्री व्यू में दिखाना
`net-tools`	नेटवर्क टूल्स (ifconfig, netstat आदि)
`ufw`	आसान और बढ़िया फ़ायरवॉल
`fail2ban`	ब्रूट-फ़ोर्स अटैक रोकना
`neofetch`	सिस्टम जानकारी सुंदर तरीके से दिखाना

3.2 Non-root user banayein

Root ka direct use kyun na karein?

Root user ke paas bohot zyada permissions hote hain, ek chhoti si galti se rm -rf / sab khatam ho sakta hai. Daily tasks ke liye ek normal user use karna chahiye, aur jab admin wali permissions ki zaroorat ho, tabhi sudo ka use karein.

Lobster (openclaw) toh ek monster hai, isko root access kaise de sakte hain?

User banayein

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

System aapse password aur kuch aur details set karne ko kahega:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Sudo permissions dein

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Check kar lein:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Agar output root aata hai, toh iska matlab sudo successfully configure ho gaya hai.

💡 Pro Tip
exit type karke aap wapas root user mein switch kar sakte hain. Aage ke setup steps hum root use karke complete karenge, aur jab sab kuch ho jaye, tab wapas normal user par switch kar lenge.

Key authentication vs Password authentication

Key authentication password se kaafi zyada secure hota hai:

Passwords ko brute-force kiya ja sakta hai, keys ko lagbhag nahi
Baar-baar password daalne ki zaroorat nahi, kaafi convenient hai
Agar password leak bhi ho jaye, toh bhi private key ke bina login nahi hoga

Step 1: Local par key pair generate karein

अपने अपने कंप्यूटर (सर्वर नहीं) पर ये रन करो:

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

ये प्रॉम्प्ट आएगा:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

बस Enter मारकर डिफ़ॉल्ट पाथ इस्तेमाल कर लो। हमने यहाँ ./ittinker इस्तेमाल किया है, मतलब फ़ाइल तुम्हारी मौजूदा डायरेक्टरी में ittinker नाम से सेव हो जाएगी।

1	Enter passphrase (empty for no passphrase):

तुम चाहो तो की के लिए पासवर्ड सेट कर सकते हो (एक एक्स्ट्रा लेयर सिक्योरिटी के लिए), या फिर सीधा Enter मारकर इसे खाली छोड़ सकते हो।

जनरेट हो जाने के बाद, तुम्हें ~/.ssh/ डायरेक्टरी में दो फ़ाइलें दिखेंगी (नीचे डिफ़ॉल्ट नाम दिए हैं, अगर आगे तुमने सीधा Enter मारा तो ऐसे ही बनेंगी):

id_ed25519: प्राइवेट की, इसे किसी भी कीमत पर लीक नहीं करना!
id_ed25519.pub: पब्लिक की, इसे सर्वर पर अपलोड करना है

💡 ed25519 vs RSA
ed25519 फ़िलहाल सबसे ज़्यादा रेकमेंडेड अल्गोरिदम है, ये पुराने RSA से ज़्यादा सिक्योर है और इसकी की भी छोटी होती है। अगर तुम्हारा सिस्टम बहुत पुराना है और इसे सपोर्ट नहीं करता, तो तुम ssh-keygen -t rsa -b 4096 का इस्तेमाल कर सकते हो।

एक छोटी सी बात, ed25519 से बनी की काफी छोटी होती है, जबकि RSA की फ़ाइल काफी बड़ी होती है। मैंने AI से पूछा तब पता चला, साइज़ से कोई मतलब नहीं है, ये अल्गोरिदम पर निर्भर करता है।

स्टेप दो: पब्लिक की को सर्वर पर अपलोड करो

तरीका A: ssh-copy-id का इस्तेमाल (रेकमेंडेड)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

पासवर्ड डालते ही, तुम्हारी पब्लिक की अपने-आप सर्वर पर कॉपी हो जाएगी।

तरीका B: मैन्युअली कॉपी करना

अगर ssh-copy-id काम नहीं कर रहा है, तो आप इसे मैन्युअली भी कर सकते हैं:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

आउटपुट में जो कंटेंट मिलेगा उसे कॉपी कर लें (एक लंबा टेक्स्ट जो ssh-ed25519 से शुरू होता है)।

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ परमिशन बहुत मायने रखती है!
SSH फ़ाइल परमिशन को लेकर काफी स्ट्रिक्ट होता है:
.ssh डायरेक्टरी: 700 (सिर्फ यूजर ही एक्सेस कर सकता है)
authorized_keys फ़ाइल: 600 (सिर्फ यूजर ही पढ़ और लिख सकता है)
अगर परमिशन गलत हुए, तो SSH की लॉगिन करने से मना कर देगा।

स्टेप 3: की लॉगिन टेस्ट करना

एक नया टर्मिनल विंडो खोलें (पुराना विंडो बंद मत करना, अगर कॉन्फ़िग में कुछ गलती हो जाए तो पछाड़ लेने के लिए), और की लॉगिन टेस्ट करें:

1	ssh ittinker@你的服务器IP

अगर बिना पासवर्ड डाले लॉगिन हो जाता है, तो समझ लो आपकी की सफलतापूर्वक कॉन्फ़िगर हो गई है! 🎉

(अगर आपने प्राइवेट की पर कोई passphrase सेट किया है, तो वह प्राइवेट की का पासवर्ड डालने के लिए कहेगा, यह बिल्कुल नॉर्मल है)

यहाँ हमने एक -i पैरामीटर जोड़ा है, क्योंकि इस की को हमने डिफ़ॉल्ट पाथ पर नहीं, बल्कि मौजूदा पाथ में रखा है। अगर हम इसे स्पेसिफाई नहीं करेंगे, तो सिस्टम डिफ़ॉल्ट की का इस्तेमाल करेगा।

3.4 SSH सुरक्षा हार्डनिंग (Hardening)

अब जबकि की लॉगिन काम करने लगा है, तो चलिए SSH को और सुरक्षित करते हैं:

डिफ़ॉल्ट पोर्ट बदलें (ताकि स्कैन होने से बच सकें)
पासवर्ड लॉगिन डिसेबल करें
root का डायरेक्ट लॉगिन बंद करें

SSH कॉन्फ़िग फ़ाइल एडिट करना

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

नीचे दिए गए सेटिंग्स को ढूँढकर उन्हें मॉडिफ़ाई कर लें (कुछ कॉमेंट आउट हो सकते हैं, तो आगे लगा # हटा दें):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

फ़ाइल सेव करके बाहर निकल जाएँ (ctrl + o)।

Nano में सेव करने के लिए ctrl + o दबाएँ, यह फ़ाइल का नाम पूछेगा तो बस एंटर दबा दें, और बाहर निकलने के लिए ctrl + x दबाएँ।

SSH सर्विस रीस्टार्ट करना

1	systemctl restart sshd.service

⚠️ ज़रूरी चेतावनी!
मौजूदा टर्मिनल विंडो बंद मत करना! पहले एक नई विंडो खोलकर टेस्ट कर लें कि नई सेटिंग्स से लॉगिन हो पा रहा है या नहीं:
1
ssh -p 22000 yourname@你的服务器IP
अगर लॉगिन हो जाता है, तभी पुरानी विंडो बंद करें। अगर लॉगिन नहीं हो पा रहा है, तो आप पुरानी विंडो से ही कॉन्फ़िग ठीक कर सकते हैं।

अगर आपने लाइटवेट सर्वर लिया है, तो ज़्यादातर इस पोर्ट को बदला नहीं जा सकता, जबकि पारंपरिक ECS में इसे मॉडिफ़ाई किया जा सकता है, इसलिए इस बात का ध्यान रखें।

3.5 UFW फ़ायरवॉल सेटअप करना

UFW (Uncomplicated Firewall) Ubuntu का डिफ़ॉल्ट फ़ायरवॉल टूल है, इसका सेटअप बहुत आसान है लेकिन यह काफ़ी पावरफुल है।

बेसिक सेटअप

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

फ़ायरवॉल चालू करना

1	ufw enable

यह प्रॉम्प्ट करेगा:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

कन्फ़र्म करने के लिए y टाइप करें।

स्टेटस चेक करना

1	ufw status verbose

23022 मेरी टाइपिंग की गलती थी, आप लोग अपनी实际情况 के हिसाब से ही सेट कर लेना

आउटपुट कुछ ऐसा आएगा:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

कमांड्स की चीटशीट

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 BBR एक्सेलेरेशन चालू करना

BBR (Bottleneck Bandwidth and Round-trip propagation time) Google द्वारा बनाया गया एक TCP कंजेशन कंट्रोल एल्गोरिदम है, जो आपके नेटवर्क की परफॉरमेंस काफी बेहतर कर देता है।

एक क्लिक में चालू करें

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

चालू हुआ या नहीं, उसे वेरिफाई करें

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

आउटपुट कुछ ऐसा होना चाहिए:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

आउटपुट कुछ ऐसा आएगा:

1	tcp_bbr 20480 3

💡 BBR का असर
BBR चालू करने के बाद, खासकर तब जब नेटवर्क अस्थिर हो या लेटेंसी बहुत ज्यादा हो, आपको साफ महसूस होगा कि:
डाउनलोड स्पीड तेज़ हो गई है
SSH ऑपरेशन्स ज्यादा स्मूद हो गए हैं
वेबपेज जल्दी लोड हो रहे हैं

3.7 ब्रूट-फोर्स अटैक रोकने के लिए fail2ban सेटअप करना

fail2ban आपके लॉग्स पर नज़र रखता है, और जिन IP से बार-बार लॉगिन फेल होता है, उन्हें अपने आप ब्लॉक कर देता है।

बेसिक कॉन्फ़िगरेशन

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

[sshd] सेक्शन ढूँढ़ें, और नीचे दी गई कॉन्फ़िगरेशन सेट करें:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

सर्विस शुरू करना

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

स्टेटस चेक करना

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

आउटपुट कुछ ऐसा दिखेगा:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

कॉमन कमांड्स

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [वैकल्पिक] SSH Config से कई सर्वर्स को मैनेज करना

अगर आपके पास कई सर्वर्स हैं, तो हर बार ssh -p 22000 user@ip टाइप करना काफी पेंच है। इसे आसान बनाने के लिए आप SSH Config का इस्तेमाल कर सकते हैं।

कॉन्फ़िग फ़ाइल

अपने लोकल कंप्यूटर पर ~/.ssh/config एडिट करें:

1	vim ~/.ssh/config

कॉन्फ़िगरेशन ऐड करें:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

इस्तेमाल कैसे करें

अब आप सीधे एलियास (alias) से कनेक्ट कर सकते हैं:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

अब IP, पोर्ट और यूज़रनेम याद रखने का झंझट खत्म!

3.9 [वैकल्पिक] सिर्फ़ Cloudflare का एक्सेस देना

अगर आपकी वेबसाइट पूरी तरह से Cloudflare के पीछे है, तो आप सेट कर सकते हैं कि 80/443 पोर्ट्स पर सिर्फ़ Cloudflare के IPs का ही एक्सेस हो, इससे सिक्योरिटी बढ़ जाएगी।

⚠️ ध्यान दें: इस कॉन्फ़िगरेशन के लिए ज़रूरी है कि आपका डोमेन पहले से ही Cloudflare CDN से कनेक्ट हो।

ऑटो-कॉन्फ़िग स्क्रिप्ट

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

यह स्क्रिप्ट ये करेगी:

Cloudflare ki official site se latest IP ranges lo
UFW rules add karo, taaki sirf inhi IPs ko 80/443 access mile
UFW ko dobara reload karo

Scheduled Update Set Karein

Cloudflare ke IP ranges kabhi badh bhi sakte hain, isliye har hafte automatic update set kar lo:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Timezone Set Karein

Default timezone shayad UTC ho, apne local timezone mein set karo taaki logs check karna aasaan ho:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Optional] Automatic Security Updates Configure Karein

System ko khud hi security patches install karne do, taaki baar-baar manually karna na pade:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Automatic updates enable karne ke liye “Yes” select karo.

💡 Yeh feature security updates toh khud install kar deta hai, lekin kisi naye major version mein upgrade nahi karta, isliye kaafi safe hai.

4. Summary

Initialization Checklist

Upar ki saari configuration complete karne ke baad, is checklist se ek baar check kar lo:

जाँच का मद	कमांड	अपेक्षित रिज़ल्ट
सिस्टम अपडेट है	`apt update && apt list --upgradable`	कोई अपग्रेड के लिए पैकेज नहीं
साधारण यूज़र sudo कर सकता है	`sudo whoami`	आउटपुट `root`
की-बेस्ड लॉगिन काम कर रहा है	`ssh yourname@ip -p port`	बिना पासवर्ड लॉगिन
पासवर्ड लॉगिन बंद है	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH पोर्ट बदल दिया गया है	`grep Port /etc/ssh/sshd_config`	आपके द्वारा सेट किया गया पोर्ट
फ़ायरवॉल चालू है	`ufw status`	`Status: active`
BBR ऑन है	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban चल रहा है	`systemctl status fail2ban`	`active (running)`
टाइमज़ोन सेट है	`timedatectl`	Asia/Shanghai या आपका टाइमज़ोन
लोकल SSH Config	`cat ~/.ssh/config`	सर्वर उपनाम कॉन्फ़िगर है

ज़रूरी फ़ाइलों का लोकेशन

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

सिक्योरिटी की बेस्ट प्रैक्टिस

सिस्टम को समय-समय पर अपडेट करते रहें: apt update && apt upgrade
लॉगिन लॉग्स समय-समय पर चेक करें: lastb (फेल्ड लॉगिन), last (सक्सेसफुल लॉगिन)
fail2ban की बैनिंग पर हमेशा नज़र रखें
ज़रूरी कॉन्फ़िग फ़ाइलों को बदलने से पहले बैकअप ज़रूर लें

5. ट्रबलशूटिंग लॉग

Q1: की-बेस्ड लॉगिन फेल हो रहा है, और बार-बार पासवर्ड माँग रहा है?

संभावित कारण:

अनुमति (Permission) की दिक्कत (सबसे आम कारण)
1
2
3
# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Public Key सही से कॉपी नहीं हुआ

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux का रुकावट आना (CentOS/RHEL सिस्टम में)
1
restorecon -Rv ~/.ssh

Q2: पोर्ट बदलने के बाद कनेक्ट नहीं हो पा रहे?

ट्रबलशूटिंग के स्टेप्स:

पक्का करें कि नया पोर्ट फायरवॉल में ओपन है:
1
ufw status | grep 你的端口
सुनिश्चित करें कि SSH कॉन्फ़िगरेशन सही है:
1
grep Port /etc/ssh/sshd_config
चेक करें कि SSH सर्विस रन कर रही है:
1
systemctl status sshd
अगर बिल्कुल कनेक्ट नहीं हो रहे, तो अपने क्लाउड प्रोवाइडर के VNC/कंसोल का इस्तेमाल करके लॉगिन करें और ठीक करें।

Q2.5: पोर्ट बदलना बिल्कुल असर नहीं कर रहा? (क्लाउड प्रोवाइडर के लाइटवेट सर्वर में)

लक्षण: आपने /etc/ssh/sshd_config बदल दिया, सर्विस रीस्टार्ट करने के बाद भी पोर्ट 22 अब भी चालू है और नया पोर्ट काम नहीं कर रहा।

डायग्नोसिस का तरीका:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

अगर आउटपुट कुछ ऐसा आता है:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

इसका मतलब है कि पोर्ट 22 को init (PID 1) सुन रहा है, न कि sshd प्रोसेस।

वजह: कुछ क्लाउड प्रोवाइडर्स के ‘Light Application Server’ या ‘Container Instance’ का SSH पूरी तरह से प्लेटफ़ॉर्म लेयर द्वारा प्रॉक्सी किया जाता है, इसलिए आपके सर्वर के अंदर की sshd कॉन्फ़िगरेशन का कोई असर नहीं पड़ता।

समाधान:

इंस्टेंस टाइप	SSH पोर्ट बदलने का तरीका
पारंपरिक ECS	sshd_config में बदलाव करें ✅
लाइटवेट सर्वर	शायद क्लाउड कंसोल से बदलना पड़े, या शायद यह सपोर्ट ही न करे
कंटेनर इंस्टेंस	आमतौर पर बदलने का सपोर्ट नहीं होता

अगर आपका इंस्टेंस पोर्ट बदलने का सपोर्ट नहीं करता, तो बाकी सिक्योरिटी उपाय और भी ज़्यादा ज़रूरी हो जाते हैं:

✅ एक नॉर्मल यूज़र बनाएं + root लॉगिन डिसेबल करें
✅ SSH की (key) से लॉगिन + पासवर्ड लॉगिन डिसेबल करें
✅ ब्रूट-फ़ोर्स अटैक रोकने के लिए fail2ban इस्तेमाल करें

अगर आपने इन सब उपायों को ठीक से लागू कर लिया, तो आपकी सिक्योरिटी फिर भी काफ़ी बढ़िया रहेगी।

Q3: fail2ban ने मुझे ही ब्लॉक कर दिया?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: UFW चालू करने के बाद वेबसाइट एक्सेस नहीं हो रही?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: कमांड रन करने पर sudo नहीं मिल रहा?

Debian के मिनिमल इंस्टॉलेशन में sudo पहले से नहीं होता, इसलिए root के ज़रिए इंस्टॉल करें:

1 2	apt install sudo usermod -aG sudo ittinker

6. वन-क्लिक इनिशियलाइज़ेशन स्क्रिप्ट (हाथ बन जाने के बाद इस्तेमाल के लिए)

अगर आप ऊपर बताए गए सभी स्टेप्स से अच्छी तरह वाक़िफ़ हो चुके हैं, तो आप इस स्क्रिप्ट का इस्तेमाल करके चुटकी में इनिशियलाइज़ेशन कर सकते हैं।

⚠️ ध्यान दें: स्क्रिप्ट चलाने से पहले, पक्का कर लें कि आपके पास आपकी SSH पब्लिक की तैयार है।

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. ये सब करने के बाद, सिक्योरिटी कितनी बेहतर हुई?

स्टेप	क्या किया	क्यों ज़रूरी है
सिस्टम अपडेट	लेटेस्ट पैच इंस्टॉल किए	ज्ञात वल्नरेबिलिटी (कमज़ोरियों) को फिक्स करने के लिए
नया यूज़र बनाना	अब सीधे root का इस्तेमाल नहीं करेंगे	गलती से कुछ गड़बड़ होने का रिस्क कम हुआ
SSH की	पासवर्ड की जगह की का इस्तेमाल	इसे ब्रूट-फ़ोर्स से हैक नहीं किया जा सकता
पोर्ट बदलना	डिफ़ॉल्ट पोर्ट 22 से बच गए	स्कैन होने के चांस कम हो गए
पासवर्ड डिसेबल करना	अब सिर्फ़ की से ही लॉगिन होगा	पासवर्ड अटैक का खतरा पूरी तरह खत्म
root डिसेबल करना	root अब सीधे लॉगिन नहीं कर सकता	हैकर्स के लिए अटैक करना और भी मुश्किल
UFW फ़ायरवॉल	सिर्फ़ ज़रूरी पोर्ट्स ही खुले	अटैक सरफ़ेस यानी गड़बड़ होने का एरिया कम हुआ
BBR एक्सिलरेशन	नेटवर्क परफ़ॉरमेंस ऑप्टिमाइज़ की	ऐक्सेस स्पीड बेहतर हुई
fail2ban	मज़ाकिया/खतरनाक IP को ऑटोमैटिक ब्लॉक करता है	लगातार होने वाले अटैक्स को रोकने के लिए

ये सब सेटअप कर लेने के बाद, आपके सर्वर की सिक्योरिटी 90% VPS से बेहतर हो चुकी है।

अगले आर्टिकल की झलक

अगले भाग में हम SSH की लॉगिन कॉन्फ़िगरेशन क्विक रेफ़रेंस पर बात करेंगे, जिसमें हम इन बातों को और डिटेल में देखेंगे:

अलग-अलग OS में की जनरेट करने का तरीका
कई की का मैनेजमेंट
SSH Agent कॉन्फ़िगरेशन
कुछ आम SSH क्लाइंट सेटिंग्स

इस आर्टिकल को आखिरी बार अपडेट किया गया: जनवरी 2026

इंडी डेवलपर टूलबॉक्स सीरीज़, फ़ॉलो करने के लिए आपका स्वागत है!

VPS入手後の最初の1時間：裸機から安全・使える状態までの完全初期化ガイド（OpenClawをより安全にしよう）

2026-01-21T11:51:00.000Z

買いたての VPS は、まるで鍵のかかっていないドアみたいなもの。世界中のスクリプトキディたちがノックしまくってます。この記事じゃ、そのドアにしっかり鍵をかける方法を案内するよ。君の「ザリガニ」が外に脱走してウロチョロしないようにね。

0、はじめに

VPS を買って、ワクワクしながら IP と root パスワードを受け取った。で、次はどうする？

多くの人がやりがちなのは：すぐにソフトを入れ始めて、プロジェクトをデプロイしちゃうこと。

これは危険な習慣だよ。

君の VPS にはパブリック IP が付いてる。つまり、世界中の誰でも接続を試みることができるってこと。しかもデフォルト設定のままだと：

ポートは誰でも見える 22 番が開放っきり
ユーザー名は誰もが知ってる root
君を守っているのはパスワードたった一つ

毎日、無数の自動化スクリプトが IP 範囲をスキャンして、よくあるパスワードでブルートフォース攻撃を仕掛けてる。君のサーバーは、オンラインになったその瞬間から、すでに攻撃されてるんだ。

だから、VPS を手に入れてから最初にやるべきことは、ソフトを入れることじゃなく、セキュリティの初期設定なんだよ。

1、目指すゴール

この記事の目標は：

✅ セキュアなリモートアクセスを確立：SSH鍵ログイン＋デフォルト以外のポートに変更
✅ 一般ユーザーを作成：rootの直接使用を避ける
✅ ファイアウォールを設定：必要なポートだけ開放
✅ ネットワーク加速を有効化：BBRでネットワークを爆速化
✅ ブルートフォース攻撃を防止：fail2banで悪意あるIPを自動でブロック

ここまで済ませれば、VPSの基盤はバッチリ。あとは安心していろんなサービスをデプロイできるよ。

2、計画と思考

なぜこの設定をするの？

買いたてのVPSは、引き渡されたばかりのスケルトンの部屋みたいなもの。

デフォルト状態	リスク	僕たちの解決策
rootユーザーで直接ログイン	権限が強すぎて誤操作のリスクが高い	一般ユーザー作成＋ sudo
パスワードログイン	ブルートフォース攻撃の標的に	SSH鍵ログイン
デフォルトの22番ポート	スキャナーに真っ先に狙われる	非標準ポートに変更
ファイアウォール無効	全ポートが外部に公開される	UFWで必要なポートだけ許可
ネイティブネットワーク	パケロス率高、レイテンシ大	BBR輻輳制御アルゴリズム

全体の流れ

この順番で作業を進めていこう。各ステップで「なぜこれをするのか」も解説していくよ。

3、作業手順

3.1 初回ログインとシステム更新

サーバーIPを確認

VPSを契約すると、プロバイダーから次の情報が届くよ：

IP アドレス：たとえば 192.168.1.100
ポート：通常は 22（プロバイダによっては別のポートに変更されていることもあります）
ユーザー名：通常は root
パスワード：ランダムに生成された文字列

SSH 接続

Mac / Linux ユーザー：ターミナルを開いて、そのまま以下を入力：

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows ユーザー：

Windows 10/11 には OpenSSH が標準で入っているので、PowerShell や CMD でそのまま上記のコマンドが使えます
あるいは Termius や MobaXterm などのツールを使うのもアリです

初めて接続すると、フィンガープリントの確認プロンプトが出ます：

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

これは「このマシンは知らないけど、本当に接続していい？」と聞いてきてるんです。

yes と入力して Enter。続いてパスワードを入力します（入力中は何も表示されませんが、これは正常なセキュリティ仕様です）、Enter を押します。

こんな感じの表示が出たら、ログイン成功です：

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 なぜフィンガープリントを確認するの？
これは「中間者攻撃（Man-in-the-Middle Attack）」を防ぐためです。初回接続時にサーバーのフィンガープリントを記録しておき、以降の接続でフィンガープリントが変わっていたら、誰かがあなたのサーバーを装っている可能性があります。

まずはサーバーの様子を知ろう

ログインできたら、まずはこのマシンの基本情報をチェックしておきましょう：

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

この情報は後でトラブルシューティングするときに役立つので、頭の片隅に置いておいてくださいね。

システムをアップデートする

サーバーの情報を確認したら、最初にやるべきことはシステムのアップデートです。新しいサーバーのOSイメージは数ヶ月前のものかもしれないし、その間にセキュリティパッチがリリースされている可能性がありますからね：

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

パラメーターの解説：

apt update：パッケージインデックスを更新
apt full-upgrade：カーネルを含むすべてのソフトをアップグレード
-y：自動で「yes」と答えるので、手動で入力する必要なし
apt autoremove：不要になった依存パッケージを削除
apt autoclean：ダウンロードしたパッケージのキャッシュをクリーンアップ

⏱️ このステップは更新量によっては数分かかることがあります。途中で確認を求められることもありますが、基本的には画面の指示に従えば大丈夫ですよ。

再起動が必要か確認する

カーネルのアップデート後は、反映のために再起動が必要になることがよくあります：

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

もし再起動が必要と表示されたら：

reboot

再起動後は、再度 SSH 接続し直す必要があります。

よく使うツールをインストールする

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

これらのツールは何に使うもの？：

ツール	用途
`sudo`	一般ユーザーに管理者コマンドを実行させる
`curl` / `wget`	ファイルをダウンロード
`git`	バージョン管理
`vim`	テキストエディタ
`htop`	見やすいプロセスモニター
`tree`	ディレクトリ構造をツリー表示
`net-tools`	ネットワークユーティリティ（ifconfig、netstat など）
`ufw`	シンプルで使いやすいファイアウォール
`fail2ban`	ブルートフォース攻撃対策
`neofetch`	システム情報をオシャレに表示

3.2 root以外のユーザーを作成する

なぜ root で直接作業しないのか？

root ユーザーは権限が強すぎるので、ちょっと手が滑って rm -rf / と打っただけで全部吹き飛びます。普段の作業は一般ユーザーで行い、管理者権限が必要なときだけ sudo を使うのが基本ですよ。

龙虾（openclaw）はモンスターみたいなものだし、root を渡すなんて恐れ多いですよね？

ユーザーを作成する

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

パスワードや各種情報の入力を求められるので、画面の指示に従って設定します：

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

sudo 権限を付与する

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

確認してみよう：

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

出力が root になっていれば、sudo の設定はバッチリ成功です。

💡 ちょっとしたコツ
exit と入力すれば root ユーザーに戻れます。この後の設定作業は引き続き root で進めて、すべて終わったら一般ユーザーに切り替えましょう。

3.3 SSH 鍵認証を設定する

鍵認証 vs パスワード認証

鍵認証はパスワード認証よりずっと安全です：

パスワードは総当たり攻撃で破られるリスクがありますが、鍵ならほぼ不可能です
毎回パスワードを入力しなくていいので、圧倒的にラクです
仮にパスワードが漏洩しても、秘密鍵がなければログインできません

ステップ1：ローカルで鍵ペアを生成する

自分のPC（サーバーじゃないよ）で実行しよう：

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

こんな感じで聞かれる：

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

そのまま Enter を押してデフォルトのパスで OK。ここでは ./ittinker を使ってるけど、要するに現在のディレクトリに ittinker って名前で保存するってこと。

1	Enter passphrase (empty for no passphrase):

パスフレーズを設定してワンポイント保護を追加してもいいし、そのまま Enter で空欄のままでも大丈夫。

生成が完了したら、~/.ssh/ ディレクトリに2つのファイルができてるはず（以下はデフォルトのファイル名。先ほど Enter を押した場合はこうなるよ）：

id_ed25519：秘密鍵。絶対に漏らしちゃダメ！
id_ed25519.pub：公開鍵。これはサーバーにアップロードする

💡 ed25519 vs RSA
ed25519 は現時点で推奨されるアルゴリズム。従来の RSA より安全で、鍵も短い。もしお使いのシステムが古くて対応していない場合は、ssh-keygen -t rsa -b 4096 を使えば OK。

細かい話だけど、ed25519 で生成した鍵は結構小さい。一方 RSA はファイルがでかい。AI に聞いてみたら、サイズは関係なくてアルゴリズムの違いらしい。

ステップ2：公開鍵をサーバーにアップロードする

方法 A：ssh-copy-id を使う（おすすめ）

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

パスワードを入力すれば、公開鍵が自動でサーバーにコピーされるよ。

方法 B：手動でコピーする

もし ssh-copy-id が使えない場合は、手動でやりましょう：

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

出力された内容（ssh-ed25519 から始まる長い文字列）をコピーします。

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ 権限は超重要！
SSH はファイルの権限に厳格です：
.ssh ディレクトリ：700（ユーザー本人のみアクセス可能）
authorized_keys ファイル：600（ユーザー本人のみ読み書き可能）
権限が間違っていると、SSH は鍵を使ったログインを拒否します。

ステップ3：鍵ログインをテストする

新しいターミナルウィンドウを開き（元のウィンドウは念のため閉じずに残しておきましょう。設定を間違えた時の保険になります）、鍵ログインをテストしてみましょう：

1	ssh ittinker@你的服务器IP

パスワードを入力せずにログインできたら、鍵の設定は成功です！🎉

（秘密鍵にパスフレーズを設定している場合は、秘密鍵のパスワード入力を求められますが、これは正常な動作です）

ここで -i パラメータを追加しているのは、今回の鍵がデフォルトのパスではなく現在のパスに置かれているためです。指定しないと、システムはデフォルトの鍵を使おうとします。

3.4 SSHのセキュリティ強化

鍵ログインが使えるようになったので、次は SSH をさらに堅牢にしていきましょう：

デフォルトポートの変更（スキャン対策）
パスワードログインの無効化
root の直接ログイン禁止

SSH設定ファイルを編集する

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

以下の設定を見つけて変更しよう（コメントアウトされている場合は、先頭の # を削除してね）：

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

保存して終了しよう（ctrl + o）。

Nanoでの保存は ctrl + o。ファイル名を聞かれたらそのまま Enter を押せばOK。終了は ctrl + x だよ。

SSHサービスを再起動する

1	systemctl restart sshd.service

⚠️ 重要な注意点！
今開いているターミナルは閉じないで！ まずは新しいウィンドウを開いて、新しい設定でログインできるかテストしてみよう：
1
ssh -p 22000 yourname@你的服务器IP
ログインできたら、古いウィンドウを閉じてOK。もしうまくログインできなくても、古いウィンドウで設定を修正できるから安心してね。

もし軽量サーバーを借りているなら、このポートは変更できない可能性が高いよ。従来のECSなら変更できるから、その辺は要注意ね。

3.5 UFWファイアウォールの設定

UFW（Uncomplicated Firewall）はUbuntuのデフォルトファイアウォールツール。シンプルだけど強力なんだ。

基本設定

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

ファイアウォールを有効にする

1	ufw enable

こんなプロンプトが出るよ：

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

y と入力して確認しよう。

ステータスの確認

1	ufw status verbose

23022は私の打ち間違いです。各自の環境に合わせて適宜読み替えてくださいね。

出力はこんな感じ：

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

よく使うコマンドチートシート

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 BBRアクセラレーションを有効にする

BBR（Bottleneck Bandwidth and Round-trip propagation time）は、Googleが開発したTCP輻輳制御アルゴリズムで、ネットワークパフォーマンスを大幅に向上させることができます。

ワンクリックで有効化

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

有効になったか確認する

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

出力はこうなればOK：

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

出力はこんな感じ：

1	tcp_bbr 20480 3

💡 BBRの効果
BBRを有効にすると、特にネットワークが不安定だったりレイテンシが高い環境下で、こんな違いをはっきり実感できるはず：
ダウンロード速度が速くなる
SSH操作がもっさりしなくなる
Webページの読み込みが速くなる

3.7 fail2banでブルートフォース攻撃を防ぐ設定

fail2banはログを監視し、何度もログインに失敗したIPを見つけると自動でアクセスをブロックしてくれます。

基本設定

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

[sshd] の部分を見つけて、以下の設定になっているか確認してください：

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

サービスを起動

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

状態を確認

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

出力はこんな感じになります：

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

よく使うコマンド

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [オプション] SSH Config で複数サーバーを管理

サーバーが複数あると、毎回 ssh -p 22000 user@ip を打つのが面倒ですよね。そんなときは SSH Config を使ってスッキリさせましょう。

設定ファイル

自分のローカルPC で ~/.ssh/config を編集します：

1	vim ~/.ssh/config

設定を追加します：

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

使い方

これでエイリアスを使って直接接続できます：

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

IP、ポート、ユーザー名を覚えておく手間がなくなりますよ！

3.9 [オプション] Cloudflare からのアクセスのみ許可

もしサイトが完全に Cloudflare の背後で動いているなら、80/443 ポートへのアクセスを Cloudflare の IP だけに限定して、セキュリティを強化できます。

⚠️ 注意：この設定を行うには、ドメインがすでに Cloudflare CDN に接続されている必要があります。

自動設定スクリプト

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

このスクリプトがやること：

Cloudflare の公式から最新の IP レンジを取得する
UFW のルールを追加して、これらの IP だけに 80/443 ポートへのアクセスを許可する
UFW をリロードする

自動更新をスケジュールする

Cloudflare の IP レンジは変わる可能性があるので、毎週自動で更新されるように設定しておこう：

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 タイムゾーンの設定

デフォルトのタイムゾーンは UTC になっているはず。ログを見るときのために、自分のタイムゾーンに変更しておこう：

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [オプション] 自動セキュリティアップデートの設定

システムにセキュリティパッチを自動でインストールさせておけば、いちいち手動で作業する手間が省ける：

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

「Yes」を選んで自動更新を有効にしよう。

💡 この機能はセキュリティアップデートだけを自動でインストールしてくれる。新しいメジャーバージョンへのアップグレードは行わないから、比較的安全だ。

4. まとめ

初期化チェックリスト

以上の設定が終わったら、このリストで最終チェックしてみよう：

チェック項目	コマンド	期待される結果
システムは最新か	`apt update && apt list --upgradable`	アップグレード可能なパッケージなし
一般ユーザーで sudo 可能か	`sudo whoami`	`root` と出力される
鍵認証ログインは正常か	`ssh yourname@ip -p port`	パスワードなしでログインできる
パスワードログインは無効化されているか	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSHポートは変更済みか	`grep Port /etc/ssh/sshd_config`	自分で設定したポート
ファイアウォールは有効か	`ufw status`	`Status: active`
BBRは有効か	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2banは稼働中か	`systemctl status fail2ban`	`active (running)`
タイムゾーンは設定済みか	`timedatectl`	Asia/Shanghai または自分のタイムゾーン
ローカルの SSH Config	`cat ~/.ssh/config`	サーバーのエイリアスが設定済み

主要ファイルの場所

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

セキュリティのベストプラクティス

システムを定期的にアップデートする：apt update && apt upgrade
ログインログを定期的にチェックする：lastb（ログイン失敗）、last（ログイン成功）
fail2banのブロック状況をこまめに確認する
重要な設定ファイルは変更前に必ずバックアップを取る

5、トラブルシューティング

Q1：鍵認証ログインに失敗し、パスワードを求められる？

考えられる原因：

パーミッションの問題（一番よくあるやつ）

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

公開鍵のコピーがうまくいっていない

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinuxの干渉（CentOS/RHEL系の場合）
1
restorecon -Rv ~/.ssh

Q2：ポートを変えたら繋がらなくなった？

トラブルシューティング手順：

新しいポートがファイアウォールで開放されているか確認：
1
ufw status | grep 你的端口
SSHの設定が正しいか確認：
1
grep Port /etc/ssh/sshd_config
SSHサービスがちゃんと動いているか確認：
1
systemctl status sshd
それでも全く繋がらない場合は、クラウド業者のVNC/コンソールからログインして修復しよう。

Q2.5：ポート変更が全然反映されない？（クラウド業者の軽量サーバーの場合）

現象：/etc/ssh/sshd_configを変更してサービスを再起動しても、22番ポートが生き残ったままで、新しいポートが反映されていない。

診断方法：

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

もし出力がこんな感じだったら：

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

これは、22番ポートをリッスンしているのが init（PID 1）であって、sshd プロセスではないってことだよ。

原因：一部のクラウド事業者が提供する「軽量アプリケーションサーバー」や「コンテナインスタンス」では、SSH がプラットフォームレイヤーでプロキシされているため、サーバー内部の sshd 設定が反映されません。

解決策：

インスタンスタイプ	SSH ポートの変更方法
従来の ECS	sshd_config を変更 ✅
軽量サーバー	クラウドのコンソールから変更する必要があるか、そもそも対応していない
コンテナインスタンス	基本的に変更不可

お使いのインスタンスでポート変更に対応していない場合は、他のセキュリティ対策がより重要になります：

✅ 一般ユーザーの作成 + root ログインの無効化
✅ SSH 鍵認証の利用 + パスワードログインの無効化
✅ fail2ban によるブルートフォース攻撃対策

これらをしっかりやっておけば、セキュリティレベルは依然として高く保てますよ。

Q3：fail2ban で自分をブロックしちゃった？

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4：UFW を有効化したらサイトにアクセスできなくなった？

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5：コマンドを実行すると sudo が見つからないって出る？

Debian の最小構成インストールだと sudo が入っていないことがあるので、root でインストールしましょう：

1 2	apt install sudo usermod -aG sudo ittinker

6、ワンクリック初期化スクリプト（慣れてきたら使おう）

上記の手順にすっかり慣れたら、このスクリプトでサクッと初期化できます。

⚠️ 注意：スクリプトを実行する前に、SSH 公開鍵の準備ができているか確認しておこうね。

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7、ここまでやると、セキュリティはどれくらい上がった？

手順	やったこと	なぜ重要か
システム更新	最新パッチをインストール	既知の脆弱性を修正
新規ユーザー作成	root を直接使わないように	誤操作リスクを減らす
SSH 鍵	パスワードの代わりに鍵を使う	総当たり攻撃で破られない
ポート変更	デフォルトの 22 を避ける	スキャンで見つかる確率を下げる
パスワード無効化	鍵ログインのみ許可	パスワード攻撃を完全に防ぐ
root 無効化	root で直接ログイン不可	攻撃の難易度を上げる
UFW ファイアウォール	必要なポートだけ開放	攻撃対象領域を減らす
BBR 加速	ネットワーク性能を最適化	アクセス速度を向上
fail2ban	悪意ある IP を自動でブロック	執拗な攻撃を防ぐ

ここまでやれば、あなたのサーバーのセキュリティは VPS ユーザーの 90% を超えたことになるよ。

次回予告

次回は SSH 鍵ログイン設定クイックリファレンス を解説していくよ。こんな内容をもう少し詳しく紹介するね：

OS 別の鍵生成方法
|複数鍵の管理
SSH Agent の設定
主要な SSH クライアントの設定

この記事の最終更新：2026年1月

独立開発者ツールボックス・シリーズ、ぜひフォローしてね！

VPS 개통 후 첫 1시간: 아무것도 없는 상태에서 안전하게 쓸 수 있게 세팅하는 완전 초기화 가이드 (너의 OpenClaw 더 안전하게 만들기)

2026-01-21T11:51:00.000Z

새로 산 VPS는 자물쇠 없는 현관문이나 다름없어요. 전 세계의 스크립트 키디들이 끊임없이 문을 두드리고 있죠. 이 글에서는 그 문을 확실히 잠그는 방법을 알려드릴게요. 여러분의 openclaw가 함부로 밖으로 나돌아다니지 않도록 말이에요.

0. 들어가며

VPS 한 대를 새로 샀고, 신나서 IP와 root 비밀번호를 받았다면 그다음은 뭘까요?

많은 분들이 이렇게 하시더라고요: 곧바로 소프트웨어 설치하고 프로젝트 배포를 시작해버리죠.

이건 아주 위험한 습관이에요.

여러분의 VPS에는 공인 IP가 달려 있습니다. 즉, 전 세계 누구나 접속을 시도해볼 수 있다는 뜻이죠. 게다가 기본 설정 상태에서는:

포트는 22로 탁 트여 있고
사용자 이름은 누구나 아는 root이며
남은 건 비밀번호 하나뿐입니다

매일 수많은 자동화 스크립트가 IP 대역을 스캔하면서 흔한 비밀번호로 무차별 대입 공격을 시도합니다. 서버가 온라인에 올라가는 순간부터 이미 공격받고 있는 거예요.

그러니까 VPS를 손에 넣자마자 해야 할 첫 번째 일은 소프트웨어 설치가 아니라 보안 초기화입니다.

1. 목표

이 글의 목표는:

✅ 안전한 원격 접속 환경 구축: SSH 키 로그인 + 기본 포트 번호 변경
✅ 일반 사용자 계정 생성: root 계정 직접 사용은 피하기
✅ 방화벽 설정: 꼭 필요한 포트만 열어두기
✅ 네트워크 가속 활성화: BBR로 네트워크 속도 날려버리기
✅ 무차별 대입 공격(Brute Force) 방지: fail2ban으로 악성 IP 자동 차단하기

이 세팅들까지 마치고 나면, 여러분의 VPS는 탄탄한 기반을 갖추게 되어 각종 서비스를 안심하고 마음껏 배포할 수 있어요.

2. 계획 및 고민

왜 이런 세팅을 해야 할까요?

막 구매한 VPS는 입주하기 딱 좋은 상태로 넘겨받은 맨집(?)과 같아요.

기본 상태	위험	우리의 해결책
root 계정 바로 로그인	권한 과다, 잘못된 조작 시 치명적	일반 사용자 생성 + sudo
비밀번호 로그인	무차별 대입 공격에 뚫림	SSH 키 로그인
기본 22번 포트	스캐너들의 주요 타겟	비표준 포트로 변경
방화벽 꺼짐	모든 포트가 외부에 노출	UFW로 필요한 포트만 허용
기본 네트워크	패킷 손실률 높음, 지연 큼	BBR 혼잡 제어 알고리즘

전체 흐름

이 순서대로 하나씩 진행해 볼게요. 각 단계마다 왜 이렇게 하는지도 쭉 설명해 드릴게요.

3. 작업 단계

3.1 최초 로그인 및 시스템 업데이트

서버 IP 확인

VPS를 구매하면, 서비스 제공업체에서 다음 정보들을 보내줄 거예요:

IP 주소: 예를 들어 192.168.1.100
포트: 보통 22이에요 (업체에 따라 다른 포트로 바꾸기도 해요)
사용자 이름: 보통 root예요
비밀번호: 무작위로 생성된 문자열이에요

SSH 접속하기

Mac / Linux 사용자: 터미널을 열고 바로 입력하세요:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows 사용자:

Windows 10/11에는 OpenSSH가 기본 내장되어 있어서 PowerShell이나 CMD에서 바로 위 명령어를 쓸 수 있어요
아니면 Termius나 MobaXterm 같은 툴을 써도 좋아요

처음 접속하면 이런 지문(fingerprint) 확인 메시지가 뜰 거예요:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

“이 서버가 처음이네. 정말 연결할까요?” 하고 물어보는 겁니다.

yes을 입력하고 엔터를 치세요. 그다음 비밀번호를 입력하고(주의: 입력할 때 화면에 아무 글자도 안 보이는데, 이건 정상적인 보안 기능이니까 당황하지 마세요) 엔터를 치시면 됩니다.

이런 식으로 프롬프트가 뜨면 로그인 성공입니다:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 지문을 확인하는 이유는?
'중간자 공격(Man-in-the-Middle)'을 방지하기 위해서예요. 첫 접속 때 서버 지문을 기록해두면, 나중에 접속했을 때 지문이 바뀌어 있다면 누군가가 당신의 서버를 사칭하고 있을 가능성이 있다는 뜻이죠.

서버와 친해지기

로그인했다면, 우선 이 녀석의 기본 상태부터 파악해볼까요?

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

이 정보는 나중에 문제를 찾아낼 때 요긴하게 쓰이니 잘 기억해두세요.

시스템 업데이트

서버 정보 파악이 끝났다면, 정식으로 할 첫 번째 일은 바로 시스템 업데이트예요. 새 서버의 OS 이미지는 몇 달 전 것일 수도 있고, 그동안 보안 패치가 꽤 나왔을 수 있거든요.

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

옵션 설명:

apt update: 패키지 인덱스 업데이트
apt full-upgrade: 커널을 포함한 모든 소프트웨어 업그레이드
-y: 자동 확인(yes)으로, 일일이 입력할 필요 없음
apt autoremove: 더 이상 필요 없는 의존성 패키지 삭제
apt autoclean: 다운로드한 패키지 캐시 정리

⏱️ 업데이트 양에 따라 이 단계는 몇 분 정도 걸릴 수 있어요. 중간에 가끔 확인을 요구하면, 그냥 안내에 따라 진행하면 돼요.

재부팅이 필요한지 확인

커널 업데이트 후에는 보통 재부팅을 해야 적용돼요.

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

재부팅이 필요하다는 메시지가 뜬다면:

reboot

재부팅 후에는 SSH 연결을 다시 맺어주면 됩니다.

자주 쓰는 도구 설치

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

이 도구들이 대체 뭘 하는 건지 한번 볼게요:

도구	용도
`sudo`	일반 사용자가 관리자 명령 실행
`curl` / `wget`	파일 다운로드
`git`	버전 관리
`vim`	텍스트 에디터
`htop`	더 보기 좋은 프로세스 모니터
`tree`	디렉터리 구조를 트리 형태로 표시
`net-tools`	네트워크 도구 (ifconfig, netstat 등)
`ufw`	간편한 방화벽
`fail2ban`	무차별 대입 공격 방지
`neofetch`	시스템 정보 예쁘게 표시

3.2 non-root 유저 만들기

root로 바로 쓰면 안 되나요?

root 유저는 권한이 너무 세서, 손 한 번 삐끗해서 rm -rf / 치면 날리는 게 순식간이에요. 평소엔 일반 유저로 작업하고, 관리자 권한이 필요할 때만 sudo 쓰는 게 안전합니다.

랍스터(openclaw)는 괴물인데, 감히 root 권한을 쥐여줄 수가 있나요?

유저 생성하기

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

그러면 비밀번호랑 기본 정보들을 설정하라고 프롬프트가 뜹니다:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

sudo 권한 부여하기

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

잘 됐는지 확인해 볼까요?

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

출력 결과가 root 라면 sudo 설정이 끝난 겁니다.

💡 꿀팁
exit 를 입력하면 다시 root 유저로 돌아갑니다. 앞으로의 설정 작업은 root 상태에서 진행하고, 다 끝난 뒤에 일반 유저로 전환할게요.

3.3 SSH 키 로그인 설정하기

키 인증 vs 비밀번호 인증

키 인증이 비밀번호보다 훨씬 안전합니다:

비밀번호는 무차별 대입 공격(brute-force)으로 뚫릴 수 있지만, 키는 거의 불가능해요
매번 비밀번호 안 쳐도 돼서 훨씬 편합니다
비밀번호가 유출돼도 개인 키가 없으면 로그인 자체가 안 됩니다

1단계: 로컬에서 키 페어 생성하기

내 컴퓨터(서버 말고)에서 아래 명령어를 실행해 봅시다:

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

그러면 이런 메시지가 뜰 거예요:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

그냥 엔터 치면 기본 경로로 저장됩니다. 저희는 여기서 ./ittinker를 사용했는데, 이건 현재 경로에 ittinker라는 이름으로 저장한다는 뜻이에요.

1	Enter passphrase (empty for no passphrase):

키에 비밀번호(패스프레이즈)를 설정해서 보안을 한 겹 더 추가할 수도 있고, 그냥 엔터 쳐서 비워둬도 됩니다.

생성이 끝나면 ~/.ssh/ 디렉토리에 두 개의 파일이 생긴 걸 확인할 수 있어요(아래는 기본 파일명이라서, 앞에서 그냥 엔터를 쳤다면 이렇게 됩니다):

id_ed25519: 개인 키입니다. 절대 외부에 유출되면 안 돼요!
id_ed25519.pub: 공개 키입니다. 이건 서버로 업로드해야 해요.

💡 ed25519 vs RSA
ed25519는 현재 권장되는 알고리즘으로, 전통적인 RSA보다 더 안전하고 키 길이도 짧아요. 만약 시스템이 너무 구버전이라 지원하지 않는다면 ssh-keygen -t rsa -b 4096를 사용하시면 됩니다.

한 가지 팁을 드리자면, ed25519로 생성된 키는 꽤 작은 반면 RSA 파일은 꽤 큽니다. AI한테 물어보고 나서야 알게 됐는데, 파일 크기는 상관없고 알고리즘 특성 때문에 그런 거래요.

2단계: 서버에 공개 키 업로드하기

방법 A: ssh-copy-id 사용하기(권장)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

비밀번호를 입력하면 공개 키가 서버로 자동 복사됩니다.

방법 B: 수동으로 복사하기

ssh-copy-id가 작동하지 않는다면, 수동으로 직접 설정해도 됩니다:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

출력된 내용(ssh-ed25519로 시작하는 긴 문자열)을 복사하세요.

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ 권한 설정이 정말 중요해요!
SSH는 파일 권한에 민감하게 반응하거든요:
.ssh 디렉토리: 700 (본인만 접근 가능)
authorized_keys 파일: 600 (본인만 읽고 쓰기 가능)
권한이 맞지 않으면, SSH가 키를 이용한 로그인을 거부해버립니다.

3단계: 키 로그인 테스트

새 터미널 창을 하나 더 띄워서 (기존 창은 혹시 몰라 닫지 말고 그냥 두세요. 설정이 꼬였을 때 피신처가 되니까요), 키 로그인이 잘 되는지 테스트해봅시다:

1	ssh ittinker@你的服务器IP

비밀번호 입력 없이 로그인이 되면, 키 설정이 성공한 겁니다! 🎉

(만약 개인 키에 passphrase를 설정하셨다면, 개인 키 비밀번호를 입력하라는 프롬프트가 뜰 텐데 이건 정상입니다.)

여기서 -i 옵션을 추가한 건, 이 키를 기본 경로가 아니라 현재 경로에 두었기 때문이에요. 명시적으로 지정해주지 않으면 시스템이 기본 키를 사용하려고 할 겁니다.

3.4 SSH 보안 강화

자, 이제 키 로그인이 잘 되니까 SSH를 한층 더 단단하게 묶어볼까요:

기본 포트 번호 바꾸기 (무차별 스캔 피하기)
비밀번호 로그인 막기
root 계정으로 직접 로그인 금지하기

SSH 설정 파일 수정하기

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

아래 설정들을 찾아서 수정해 줍니다. (앞에 주석 처리(#)가 되어 있다면 #를 지워주세요):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

저장하고 빠져나옵니다 (ctrl + o).

Nano에서 저장은 ctrl + o예요. 파일명을 물어보면 그냥 엔터 치시면 되고, 종료는 ctrl + x입니다.

SSH 서비스 재시작

1	systemctl restart sshd.service

⚠️ 중요한 당부!
지금 띄워진 터미널 창은 절대 닫지 마세요! 먼저 새 창을 열어서 바꾼 설정으로 정상 로그인되는지 테스트해 보세요:
1
ssh -p 22000 yourname@你的服务器IP
로그인이 잘 되면 그때 예전 창을 닫으시면 됩니다. 만약 접속이 안 된다면, 아까 창에서 설정 다시 고치면 되니까 조급해하지 마세요.

만약 가벼운 서버(Light Server)를 구매하셨다면 이 포트를 변경할 수 없을 확률이 높아요. 반면 전통적인 ECS는 수정이 가능하니 참고해 주세요.

3.5 UFW 방화벽 설정하기

UFW(Uncomplicated Firewall)는 Ubuntu의 기본 방화벽 도구입니다. 설정은 식은 죽 먹기지만 기능은 아주 강력하죠.

기본 설정

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

방화벽 활성화

1	ufw enable

이런 메시지가 뜰 거예요:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

y를 입력해서 확인해 줍니다.

상태 확인하기

1	ufw status verbose

23022은 제가 오타 난 거예요. 여러분은 각자 상황에 맞게 알아서 설정하시면 됩니다!

출력 결과는 이런 식으로 나올 거예요:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

자주 쓰는 명령어 치트시트

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 BBR 가속 켜기

BBR(Bottleneck Bandwidth and Round-trip propagation time)은 Google에서 개발한 TCP 혼잡 제어 알고리즘인데, 네트워크 성능을 확 끌어올려 줍니다.

한 번에 켜기

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

켜졌는지 확인하기

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

출력 결과는 이래야 합니다:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

출력 결과는 이런 식으로 나올 거예요:

1	tcp_bbr 20480 3

💡 BBR 효과
BBR을 켜면, 특히 네트워크가 불안정하거나 지연이 심한 환경에서 이런 게 체감될 거예요:
다운로드 속도가 훨씬 빨라지고
SSH 작업이 더 쾌적해지며
웹페이지 로딩도 빨라집니다

3.7 무차별 대입 방어를 위해 fail2ban 설정하기

fail2ban은 로그를 모니터링하다가 로그인 실패가 반복된 IP를 발견하면 알아서 차단해 줍니다.

기본 설정

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

[sshd] 부분을 찾아서 아래 설정으로 맞춰주세요:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

서비스 실행

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

상태 확인

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

출력 결과는 대략 이런 식입니다:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

자주 쓰는 명령어

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [선택] SSH Config로 여러 서버 관리하기

서버가 여러 대라면 매번 ssh -p 22000 user@ip 입력하기 귀찮겠죠. SSH Config를 쓰면 이걸 깔끔하게 단순화할 수 있어요.

설정 파일

내 로컬 PC에서 ~/.ssh/config 파일을 편집해 봅시다:

1	vim ~/.ssh/config

설정을 추가해 줍니다:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

사용 방법

이제 바로 별칭(alias)으로 접속할 수 있어요:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

IP, 포트, 사용자 이름을 일일이 외울 필요가 없어졌네요!

3.9 [선택] Cloudflare 접근만 허용하기

웹사이트가 완전히 Cloudflare 뒤에 있다면, 80/443 포트에 대해 Cloudflare IP만 접근하도록 설정해서 보안을 한층 더 끌어올릴 수 있어요.

⚠️ 주의: 이 설정을 적용하려면 도메인이 이미 Cloudflare CDN에 연결되어 있어야 합니다.

자동 설정 스크립트

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

이 스크립트는 다음 작업을 수행합니다:

Cloudflare 공식 홈페이지에서 최신 IP 대역 가져오기
UFW 규칙을 추가해서 이 IP들만 80/443 포트 접근을 허용하기
UFW 다시 불러오기

자동 업데이트 예약 설정하기

Cloudflare의 IP 대역은 바뀔 수 있으니까, 매주 자동으로 업데이트되게 설정해 둡시다:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 타임존 설정

기본 타임존이 UTC로 되어 있을 텐데, 로그 확인하기 편하게 본인이 계신 곳의 타임존으로 바꿔주세요:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [선택] 자동 보안 업데이트 설정하기

시스템이 알아서 보안 패치를 설치하게 두면, 매번 수동으로 작업할 필요가 없어져서 편해요:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

'Yes’를 선택해서 자동 업데이트를 켜주세요.

💡 이 기능은 보안 업데이트만 알아서 설치해 줍니다. 새로운 메이저 버전으로는 자동 업그레이드하지 않기 때문에 비교적 안전해요.

4. 정리

초기 설정 체크리스트

위 설정들을 다 마치셨다면, 이 체크리스트로 한 번 더 점검해 보세요:

확인 항목	명령어	예상 결과
시스템 업데이트 완료	`apt update && apt list --upgradable`	업그레이드할 패키지 없음
일반 사용자 sudo 권한	`sudo whoami`	`root` 출력
키 로그인 정상 작동	`ssh yourname@ip -p port`	비밀번호 없이 로그인됨
비밀번호 로그인 비활성화	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH 포트 변경됨	`grep Port /etc/ssh/sshd_config`	설정한 포트
방화벽 활성화됨	`ufw status`	`Status: active`
BBR 활성화됨	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban 실행 중	`systemctl status fail2ban`	`active (running)`
시간대 설정됨	`timedatectl`	Asia/Shanghai 또는 본인 시간대
로컬 SSH Config	`cat ~/.ssh/config`	서버 별칭 설정됨

주요 파일 위치

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

보안 모범 사례

시스템 주기적 업데이트: apt update && apt upgrade
로그인 로그 정기 점검: lastb(로그인 실패), last(로그인 성공)
fail2ban 차단 상태 수시로 확인
중요 설정 파일 수정 전 백업 필수

5. 트러블슈팅 기록

Q1: 키 로그인이 실패해서 계속 비밀번호를 요구하네요?

의심해 볼 수 있는 원인:

권한 문제 (가장 흔한 사례)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

공개키가 제대로 복사되지 않음

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux 간섭 (CentOS/RHEL 시스템)
1
restorecon -Rv ~/.ssh

Q2: 포트를 바꾸고 나니 연결이 안 되나요?

문제 해결 단계:

방화벽에서 새 포트가 열려 있는지 확인하세요:
1
ufw status | grep 你的端口
SSH 설정이 제대로 되어 있는지 확인하세요:
1
grep Port /etc/ssh/sshd_config
SSH 서비스가 실행 중인지 확인하세요:
1
systemctl status sshd
아예 연결이 안 된다면, 클라우드 서비스 제공자의 VNC/콘솔로 접속해서 복구하세요.

Q2.5: 포트를 바꿨는데 아예 적용이 안 되나요? (클라우드 업체 경량 서버 기준)

증상: /etc/ssh/sshd_config를 수정하고 서비스를 재시작했는데도 22번 포트가 그대로 살아있고 새 포트는 적용되지 않는 현상.

진단 방법:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

출력 결과가 아래와 비슷하다면:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

22번 포트는 sshd 프로세스가 아니라 init(PID 1)이 리스닝하고 있다는 뜻입니다.

원인: 일부 클라우드 업체의 '라이트 애플리케이션 서버’나 '컨테이너 인스턴스’는 SSH가 플랫폼 레이어에서 프록시 처리됩니다. 그래서 서버 내부의 sshd 설정은 먹히지 않아요.

해결 방법:

인스턴스 유형	SSH 포트 변경 방법
전통적 ECS	sshd_config 수정 ✅
라이트 서버	클라우드 콘솔에서 변경해야 하거나, 아예 지원하지 않을 수 있음
컨테이너 인스턴스	보통 변경 미지원

만약 인스턴스에서 포트 변경을 지원하지 않는다면, 다른 보안 조치가 훨씬 더 중요해집니다:

✅ 일반 사용자 생성 + root 로그인 비활성화
✅ SSH 키 로그인 + 비밀번호 로그인 비활성화
✅ fail2ban으로 무차별 대입(Brute-force) 방어

이 조치들만 확실히 세팅해 두면 보안성은 여전히 아주 높습니다.

Q3: fail2ban이 나를 차단해버렸어요?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: UFW 활성화 후 웹사이트에 접속이 안 돼요?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: 명령어를 실행했는데 sudo를 찾을 수 없다고 떠요?

Debian 최소 설치 버전에는 sudo가 없을 수 있어요. root로 설치해 주세요:

1 2	apt install sudo usermod -aG sudo ittinker

6. 원클릭 초기화 스크립트 (익숙해진 후 사용)

위 단계들에 이미 익숙해지셨다면, 이 스크립트로 빠르게 초기화할 수 있어요.

⚠️ 주의: 스크립트를 실행하기 전에 SSH 공개 키를 미리 준비해 두셨는지 확인하세요.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. 여기까지 따라오셨다면, 보안은 얼마나 좋아졌을까요?

단계	작업 내용	중요한 이유
시스템 업데이트	최신 패치 설치	알려진 취약점 해결
새 사용자 생성	root 계정 직접 사용 중단	실수로 인한 위험 감소
SSH 키 도입	비밀번호 대신 키 사용	무차별 대입 공격 불가
포트 변경	기본 포트 22번 회피	스캔에 노출될 확률 감소
비밀번호 로그인 차단	키 로그인만 허용	비밀번호 공격 원천 차단
root 로그인 금지	root 직접 접속 차단	공격 난이도 상승
UFW 방화벽 설정	필수 포트만 개방	공격 표면 축소
BBR 가속	네트워크 성능 최적화	접속 속도 향상
fail2ban 적용	악성 IP 자동 차단	지속적 공격 방지

여기까지 다 세팅하셨다면, 여러분의 서버 보안은 이미 전체 VPS의 **90%**를 뛰어넘었습니다.

다음 글 미리보기

다음 글에서는 SSH 키 로그인 설정 퀵 가이드를 다룰 예정입니다. 아래 내용들을 더 자세히 파볼게요:

다양한 OS에서 키 생성하는 방법
여러 개의 키 관리하기
SSH Agent 설정
자주 쓰는 SSH 클라이언트 설정

이 글의 마지막 업데이트: 2026년 1월

인디 개발자 툴박스 시리즈, 팔로우 환영해요!

Je eerste uur met je VPS: complete setup van kale server naar veilig en klaar voor gebruik (maak je OpenClaw veiliger)

2026-01-21T11:51:00.000Z

Een verse VPS is als een deur zonder slot, waar scriptkiddies over de hele wereld op staan te kloppen. In dit artikel help ik je om die deur goed op slot te doen. Zodat je ‘openclaw’ niet zomaar over straat rondzwiert.

0. Even vooraf

Net een VPS gekocht, vol enthousiasme je IP en root-wachtwoord binnengehaald, en dan?

Wat veel mensen doen: direct aan de slag met software installeren en projecten deployen.

Dat is een gevaarlijke gewoonte.

Je VPS heeft een publiek IP, wat betekent dat iedereen ter wereld kan proberen er verbinding mee te maken. En in de standaardconfiguratie is dit het geval:

Poort 22 staat open
De gebruikersnaam is het alom bekende root
Er staat nog maar één wachtwoord tussen jou en de boosdoeners

Elke dag scannen talloze geautomatiseerde scripts IP-reeks om met bekende wachtwoorden brute-force aanvallen uit te voeren. Vanaf het moment dat je server live gaat, is deze al onder vuur.

Dus, het allereerste wat je moet doen zodra je een VPS hebt, is niet direct software installeren, maar de boel beveiligen.

1. Wat we gaan bereiken

Het doel van dit artikel is:

✅ Krijg veilige toegang op afstand voor elkaar: inloggen met SSH-keys + een niet-standaard poort
✅ Maak een gewone gebruiker aan: niet direct als root werken
✅ Stel een firewall in: alleen de poorten openen die je écht nodig hebt
✅ Zet netwerkversnelling aan: met BBR vliegt je verbinding door de lucht
✅ Voorkom brute-force aanvallen: fail2ban bant kwaadwillende IP’s automatisch

Heb je dit allemaal gedaan? Dan staat je VPS op een rotsvaste basis en kun je er gerust allerlei diensten op gaan uitrollen.

2. Planning en bedenkingen

Waarom zou je dit allemaal doen?

Een VPS die je net hebt gekocht is eigenlijk net een kaal, onafgebouwd huis:

Standaardinstelling	Risico	Onze oplossing
Direct inloggen als root	Te veel rechten, risico op fatale fouten	Een gewone gebruiker aanmaken + sudo
Inloggen met wachtwoord	Kwetsbaar voor brute-force aanvallen	Inloggen via SSH-sleutel
Standaardpoort 22	Eerst doelwit voor scanners	Overschakelen naar een niet-standaardpoort
Firewall uit	Alle poorten blootgesteld aan buiten	UFW alleen essentiële poorten openen
Standaard netwerk	Hoog pakketverlies, hoge latency	BBR-congestiecontrolealgoritme

Het globale overzicht

We gaan in deze volgorde aan de slag, en bij elke stap leg ik uit waarom we het zo doen.

3. Stappenplan

3.1 Eerste keer inloggen en systeem updaten

Server-IP achterhalen

Nadat je een VPS hebt gekocht, krijg je van de provider:

IP-adres: zoiets als 192.168.1.100
Poort: meestal 22 (sommige providers gebruiken een andere poort)
Gebruikersnaam: meestal root
Wachtwoord: een willekeurig gegenereerde tekenreeks

Verbinding maken via SSH

Mac / Linux-gebruikers: open je terminal en typ direct:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows-gebruikers:

Windows 10/11 heeft OpenSSH ingebouwd, dus je kunt het bovenstaande commando direct in PowerShell of CMD gebruiken
Of gebruik tools zoals Termius of MobaXterm

Bij de eerste verbinding krijg je een prompt om de fingerprint te bevestigen:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Dit vraagt eigenlijk: “Ik ken deze machine niet, weet je zeker dat je wilt verbinden?”

Typ yes en druk op Enter. Typ daarna je wachtwoord (let op: tijdens het typen worden er geen tekens weergegeven, dit is een normale beveiligingsfunctie) en druk op Enter.

Als je een prompt ziet die hierop lijkt, is het je gelukt om in te loggen:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Waarom zou je de fingerprint controleren?
Dit is om “man-in-the-middle-aanvallen” te voorkomen. De eerste keer dat je verbinding maakt, sla je de fingerprint van de server op. Als de fingerprint bij een latere verbinding opeens anders is, betekent dit dat iemand zich mogelijk als jouw server voordoet.

Maak even kennis met je server

Zodra je bent ingelogd, is het handig om eerst even te kijken hoe deze machine in elkaar zit:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Onthoud deze informatie, want daar ga je later naar terugkijken als je problemen moet opsporen.

Systeem updaten

Nu je de serverinfo hebt bekeken, is het eerste klusje het systeem updaten. De image van een nieuwe server is mogelijk al een paar maanden oud, en ondertussen kunnen er best al beveiligingspatches zijn uitgebracht:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Wat deze parameters doen:

apt update: de pakketindex bijwerken
apt full-upgrade: alle software upgraden, inclusief de kernel
-y: automatisch bevestigen, zodat je niet handmatig “yes” hoeft in te typen
apt autoremove: afhankelijkheden die niet meer nodig zijn verwijderen
apt autoclean: de cache met gedownloade pakketten opruimen

⏱️ Deze stap kan een paar minuten duren, afhankelijk van hoeveel updates er zijn. Af en toe moet je tussendoor iets bevestigen; volg gewoon de prompts en je bent goed.

Controleren of een herstart nodig is

Na een kernel-update is een herstart meestal nodig voordat deze actief wordt:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Als er wordt aangegeven dat je moet herstarten:

reboot

Na de herstart moet je opnieuw via SSH verbinding maken.

Handige tools installeren

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Waar deze tools voor dienen:

Tool	Doel
`sudo`	Gewone gebruikers beheerderscommando’s laten uitvoeren
`curl` / `wget`	Bestanden downloaden
`git`	Versiebeheer
`vim`	Teksteditor
`htop`	Mooiere weergave van processen
`tree`	Mapstructuur als boomweergave
`net-tools`	Netwerktools (ifconfig, netstat, enz.)
`ufw`	Simpele, gebruiksvriendelijke firewall
`fail2ban`	Bescherming tegen brute-force aanvallen
`neofetch`	Systeeminformatie mooi weergeven

3.2 Een niet-root gebruiker aanmaken

Waarom niet gewoon direct root gebruiken?

De root-gebruiker heeft veel te veel rechten. Eén kleine vergissing en rm -rf / is alles weg. Voor je dagelijkse dingetjes gebruik je gewoon een gewone gebruiker; als je even admin-rechten nodig hebt, gebruik je sudo.

Een kreeft (openclaw) is echt een beest, hoe durf je die root-rechten zomaar af te staan?

Gebruiker aanmaken

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Het systeem vraagt je nu om een wachtwoord in te stellen en wat extra info in te vullen:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Sudo-rechten verlenen

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Even controleren:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Als de output root is, is je sudo-config succesvol geregeld.

💡 Handige tip
Met exit ga je weer terug naar de root-gebruiker. Voor de volgende stappen blijven we even root om alles in te stellen, en zodra dat klaar is, schakelen we weer over naar de gewone gebruiker.

3.3 SSH-sleutels instellen voor inloggen

Sleutelauthenticatie vs. wachtwoordauthenticatie

Inloggen met een sleutel is véél veiliger dan met een wachtwoord:

Een wachtwoord kan je brute-forcen, een sleutel vrijwel niet
Je hoeft niet elke keer je wachtwoord in te tikken, makkelijker dus
Zelfs als je wachtwoord lekt, kom je er niet in zonder de private sleutel

Stap 1: Lokaal een sleutelpaar genereren

Voer dit uit op je eigen computer (dus niet op de server):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Je krijgt dan deze prompt te zien:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Druk gewoon op Enter om het standaardpad te gebruiken. Wij gebruiken hier ./ittinker, wat simpelweg betekent dat het bestand ittinker in de huidige map wordt opgeslagen.

1	Enter passphrase (empty for no passphrase):

Je kunt een wachtwoord voor je key instellen (een extra beveiligingslaag), of gewoon op Enter drukken om hem leeg te laten.

Als het genereren klaar is, zie je twee bestanden in de map ~/.ssh/ (dit zijn de standaardnamen als je steeds op Enter hebt gedrukt):

id_ed25519: de private key. Laat deze absoluut nooit uitlekken!
id_ed25519.pub: de public key. Deze moet je naar de server uploaden.

💡 ed25519 vs RSA
ed25519 is momenteel het aanbevolen algoritme. Het is veiliger en de key is korter dan de traditionele RSA. Als je systeem te oud is en het niet ondersteunt, kun je ssh-keygen -t rsa -b 4096 gebruiken.

Klein detail: een ed25519-key is best compact, terwijl een RSA-bestand veel groter is. Ik moest het aan AI vragen, maar blijkbaar maakt de grootte niet uit; dat ligt gewoon aan het algoritme.

Stap 2: Upload de public key naar de server

Methode A: Gebruik ssh-copy-id (aanbevolen)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Nadat je het wachtwoord hebt ingevoerd, wordt de public key automatisch naar de server gekopieerd.

Methode B: Handmatig kopiëren

Als ssh-copy-id niet werkt, kun je het ook gewoon handmatig doen:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Kopieer de output (een lange tekst die begint met ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Permissies zijn superbelangrijk!
SSH is best streng als het om bestandsrechten gaat:
.ssh map: 700 (alleen jijzelf mag erbij)
authorized_keys bestand: 600 (alleen jijzelf mag lezen en schrijven)
Kloppen de rechten niet? Dan weigert SSH de key te gebruiken en kun je er niet mee inloggen.

Open een nieuw terminalvenster (laat het oude venster open, voor het geval je iets verkeerd hebt ingesteld en nog even terug kunt), en test de key-login:

1	ssh ittinker@你的服务器IP

Lukt het om in te loggen zonder dat je een wachtwoord hoeft in te typen? Dan is je key succesvol ingesteld! 🎉

(Heb je een passphrase voor je private key ingesteld? Dan vraagt hij om dat wachtwoord in te typen. Heel normaal, geen zorgen.)

We hebben hier een -i parameter toegevoegd, omdat we deze key niet in het standaardpad hebben staan, maar in de huidige map. Als je dat niet expliciet aangeeft, pakt het systeem namelijk de standaardkey.

3.4 SSH beveiliging aanscherpen

Nu key-login werkt, gaan we SSH nog wat verder beveiligen:

Verander de standaardpoort (zo voorkom je dat je constant gescand wordt)
Zet wachtwoord-login uit
Verbied directe root-login

SSH-configuratiebestand aanpassen

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Zoek de volgende instellingen op en pas ze aan (sommige staan mogelijk uit als commentaar, haal dan de # aan het begin weg):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Opslaan en afsluiten (ctrl + o).

In Nano sla je op met ctrl + o. Hij vraagt dan om de bestandsnaam, gewoon op Enter drukken. Afsluiten doe je met ctrl + x.

SSH-service herstarten

1	systemctl restart sshd.service

⚠️ Belangrijke waarschuwing!
Sluit je huidige terminal nog niet! Test eerst in een nieuw venster of je met de nieuwe instellingen gewoon kunt inloggen:
1
ssh -p 22000 yourname@你的服务器IP
Lukt dat? Dan kun je het oude venster veilig sluiten. Kun je er niet in? Dan kun je de configuratie in het oude venster nog herstellen.

Als je een lichte server hebt aangeschaft, is de kans groot dat je deze poort niet kunt aanpassen. Bij een traditionele ECS lukt dat wel, dus let daar even op.

3.5 UFW-firewall instellen

UFW (Uncomplicated Firewall) is de standaard firewall-tool van Ubuntu. Makkelijk in te stellen, maar toch behoorlijk krachtig.

Basisconfiguratie

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Firewall inschakelen

1	ufw enable

Je krijgt dan de volgende melding:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Typ y om te bevestigen.

Status controleren

1	ufw status verbose

23022 was een typo van mij, pas het gewoon aan naar je eigen situatie

Output zoiets:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Handige commando’s snelgids

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 BBR-versnelling aanzetten

BBR (Bottleneck Bandwidth and Round-trip propagation time) is een TCP-congestiecontrole-algoritme dat door Google is ontwikkeld. Het kan je netwerkprestaties aanzienlijk verbeteren.

Met één klik aanzetten

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Controleren of het aan staat

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

De output zou dit moeten zijn:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Output zoiets:

1	tcp_bbr 20480 3

💡 Het effect van BBR
Nadat je BBR hebt aangezet, merk je vooral in instabiele netwerkomgevingen of bij hoge latency duidelijk dat:
Downloads sneller zijn
SSH-operaties soepeler verlopen
Webpagina’s sneller laden

3.7 fail2ban instellen tegen brute-force aanvallen

fail2ban houdt je logs in de gaten en blokkeert automatisch IP-adressen die meerdere keren proberen in te loggen zonder succes.

Basisconfiguratie

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Zoek het [sshd] gedeelte op en zorg dat de volgende instellingen kloppen:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Start de services

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Check de status

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

De output ziet er ongeveer zo uit:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Handige commando’s

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Optioneel] Meerdere servers beheren met SSH Config

Als je meerdere servers hebt, is het elke keer typen van ssh -p 22000 user@ip best vervelend. Je kunt dit flink versimpelen met SSH Config.

Configuratiebestand

Pas op je eigen lokale computer het bestand ~/.ssh/config aan:

1	vim ~/.ssh/config

Voeg de volgende configuratie toe:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Hoe te gebruiken

Nu kun je direct met de alias verbinden:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Geen gedoe meer met het onthouden van IP-adressen, poorten en gebruikersnamen!

3.9 [Optioneel] Alleen Cloudflare toestaan

Als je website volledig achter Cloudflare draait, kun je de poorten 80/443 zo instellen dat alleen Cloudflare IP’s erbij mogen. Dat maakt je setup direct een stuk veiliger.

⚠️ Let op: Voor deze configuratie moet je domein al aan het Cloudflare CDN gekoppeld zijn.

Automatisch configuratiescript

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Dit script doet het volgende:

Haal de nieuwste IP-reeksen op van de officiële Cloudflare-pagina
Voeg UFW-regels toe zodat alleen deze IP’s poort 80/443 mogen benaderen
Herlaad UFW

Automatische updates instellen

Cloudflare’s IP-reeksen kunnen in de loop der tijd veranderen. Zet daarom een wekelijkse automatische update op:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Tijdzone instellen

De standaardtijdzone is waarschijnlijk UTC. verander dit naar je eigen tijdzone, dat is een stuk makkelijker bij het lezen van logs:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Optioneel] Automatische beveiligingsupdates instellen

Laat je systeem zelf beveiligingspatches installeren, scheelt je weer een handmatige actie:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Kies “Yes” om automatische updates in te schakelen.

💡 Deze functie installeert automatisch beveiligingsupdates, maar zal je niet zomaar upgraden naar een gloednieuwe hoofdversie. Vrij veilig dus.

4. Samenvatting

Checklist voor de installatie

Nadat je alles hebt geconfigureerd, loop deze checklist even na om te controleren of je niks bent vergeten:

Controlepunt	Commando	Verwacht resultaat
Systeem is bijgewerkt	`apt update && apt list --upgradable`	Geen pakketten om te upgraden
Normale gebruiker kan sudoen	`sudo whoami`	Output `root`
Inloggen met key werkt	`ssh yourname@ip -p port`	Inloggen zonder wachtwoord
Wachtwoord-inloggen staat uit	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH-poort is aangepast	`grep Port /etc/ssh/sshd_config`	Jouw ingestelde poort
Firewall staat aan	`ufw status`	`Status: active`
BBR is ingeschakeld	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban draait	`systemctl status fail2ban`	`active (running)`
Tijdzone is ingesteld	`timedatectl`	Asia/Shanghai of jouw tijdzone
Lokale SSH-config	`cat ~/.ssh/config`	Server-alias is geconfigureerd

Locatie van belangrijke bestanden

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Best practices voor veiligheid

Update je systeem regelmatig: apt update && apt upgrade
Check je inloglogs regelmatig: lastb (mislukte inlogpogingen), last (geslaagde inlogpogingen)
Houd fail2ban-bans goed in de gaten
Maak altijd even een backup voordat je belangrijke config-bestanden aanpast

5. Foutlogboek

Q1: Inloggen met key lukt niet en blijft om wachtwoord vragen?

Mogelijke oorzaken:

Permissieprobleem (komt het vaakst voor)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Public key niet correct gekopieerd

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux bemoeit zich ermee (op CentOS/RHEL systemen)
1
restorecon -Rv ~/.ssh

Q2: Na het wijzigen van de poort kun je er niet meer in?

Stappen om het te checken:

Controleer of de nieuwe poort in de firewall is geopend:
1
ufw status | grep 你的端口
Controleer of de SSH-configuratie klopt:
1
grep Port /etc/ssh/sshd_config
Controleer of de SSH-service draait:
1
systemctl status sshd
Als je er helemaal niet meer in komt, log dan in via de VNC/console van je provider om het op te lossen.

Q2.5: Poort wijzigen werkt helemaal niet? (Lightweight cloud servers van providers)

Symptoom: Je hebt /etc/ssh/sshd_config aangepast, maar na het herstarten van de service luistert hij nog steeds op poort 22 en is de nieuwe poort niet actief.

Diagnostiek:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Als de output er ongeveer zo uitziet:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Dan betekent dit dat poort 22 wordt beluisterd door init (PID 1), en niet door het sshd proces.

Waarom komt dat?: Bij sommige cloudproviders wordt de SSH voor hun “lichtgewicht applicatieservers” of “container instances” afgehandeld via een proxy in het platform. De sshd-instellingen op je server zelf doen dan niks.

De oplossing:

Type instance	Hoe pas je de SSH-poort aan?
Traditionele ECS	Pas sshd_config aan ✅
Lichtgewicht server	Mogelijk via de cloudconsole, of wordt helemaal niet ondersteund
Container instance	Vaak niet aanpasbaar

Kun je de poort op jouw instance niet aanpassen? Dan worden andere beveiligingsmaatregelen ineens een stuk belangrijker:

✅ Maak een gewone gebruiker aan + zet root-login uit
✅ Login via SSH-sleutels + zet wachtwoordlogin uit
✅ Gebruik fail2ban tegen brute-force aanvallen

Zolang je dit maar goed regelt, blijf je behoorlijk veilig.

Q3: Heeft fail2ban mijzelf geblokkeerd?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Kun je je site niet meer bereiken nadat UFW aan staat?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: Krijg je de melding “sudo niet gevonden” bij het uitvoeren van commando’s?

Bij een minimale Debian-installatie zit sudo er vaak niet bij. Installeer het dan even als root:

1 2	apt install sudo usermod -aG sudo ittinker

6. One-click initialisatiescript (als je de smaak te pakken hebt)

Als je de bovenstaande stappen eenmaal goed onder de knie hebt, kun je dit script gebruiken om alles in één keer te initialiseren.

⚠️ Let op: Voordat je het script draait, zorg ervoor dat je je SSH-public key al klaar hebt staan.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Hoeveel veiliger is je server nu eigenlijk?

Stap	Wat je gedaan hebt	Waarom het belangrijk is
Systeem updaten	Nieuwste patches geïnstalleerd	Dicht bekende kwetsbaarheden
Nieuwe gebruiker aangemaakt	Niet meer direct als root ingelogd	Minder kans op per ongeluk foute acties
SSH-sleutels	Sleutels in plaats van wachtwoorden	Niet meer te kraken via brute force
Poort gewijzigd	Weg van de standaardpoort 22	Minder kans om gescand te worden
Wachtwoorden uitgeschakeld	Alleen inloggen met sleutels	Wachtwoordaanvallen definitief onmogelijk
Root uitgeschakeld	Root kan niet meer direct inloggen	Moeilijker voor aanvallers
UFW-firewall	Alleen noodzakelijke poorten open	Kleine aanvalsoppervlakte
BBR-versnelling	Netwerkprestaties geoptimaliseerd	Snellere toegang
fail2ban	Automatisch kwaadaardige IP’s bannen	Stopt doorlopende aanvallen

Met deze stappen is je server al veiliger dan 90% van alle VPS’en.

Volgende post preview

In de volgende post duiken we in de SSH-sleutel inlogconfiguratie cheat sheet, waarin we de volgende punten gedetailleerd behandelen:

Sleutels genereren op verschillende besturingssystemen
Meerdere sleutels beheren
SSH Agent configureren
| Veelvoorkomende SSH-client instellingen

Deze post is voor het laatst bijgewerkt: januari 2026

Onafhankelijke ontwikkelaars toolkit-serie, abonneer je om op de hoogte te blijven!

Pierwsza godzina z nowym VPS: kompletny przewodnik po inicjalizacji od gołej maszyny po bezpieczny i gotowy do pracy serwer (niech Twój OpenClaw będzie bezpieczniejszy)

2026-01-21T11:51:00.000Z

Świeżo kupiony VPS jest jak otwarte na oścież drzwi, w które puka cała armia skrypt-kiddies z całego świata. W tym artykule pokażę Ci, jak założyć solidną kłódkę. Żeby Twój “rak” (openclaw) nie włóczył się, gdzie popadnie.

0. Słowo wstępu

Kupiłeś właśnie VPS-a, z radością wpisujesz IP i hasło roota, a potem?

Większość ludzi robi tak: od razu rzuca się do instalacji softu i deployu projektu.

To fatalny nawyk.

Twój VPS ma publiczny IP, co oznacza, że dosłownie każdy na świecie może spróbować się do niego podłączyć. W domyślnej konfiguracji:

otwarty jest port 22
nazwa użytkownika to powszechnie znany root
chroni Cię już tylko jedno hasło

Codziennie miliony zautomatyzowanych skryptów skanują pule adresów IP, próbując siłowo złamać popularne hasła. Od sekundy, w której Twój serwer pojawia się w sieci, jest już pod ostrzałem.

Dlatego pierwsza rzecz po wdrożeniu VPS-a to nie instalacja oprogramowania, ale security setup.

1. Cel

Celem tego poradnika jest:

✅ Zbuduj bezpieczny dostęp zdalny: logowanie kluczem SSH + zmiana domyślnego portu
✅ Stwórz zwykłego użytkownika: unikaj pracy bezpośrednio na koncie root
✅ Skonfiguruj firewall: otwórz tylko te porty, które są naprawdę potrzebne
✅ Włącz akcelerację sieci: dzięki BBR sieć dostanie skrzydeł
✅ Zablokuj atak brute-force: fail2ban automatycznie banuje złośliwe IP

Gby to ogarniesz, Twój VPS będzie miał solidne fundamenty i z czystym sumieniem będziesz mógł na nim deployować różne usługi.

2. Plan i przemyślenia

Po co to wszystko konfigurować?

Świeżo kupiony VPS jest jak mieszkanie z rynku pierwotnego, dopiero co oddane do remontu:

Stan domyślny	Ryzyko	Nasze rozwiązanie
Logowanie jako root	Zbyt wysokie uprawnienia, błąd może być fatalny	Stworzenie zwykłego usera + sudo
Logowanie hasłem	Podatność na ataki brute-force	Logowanie kluczem SSH
Domyślny port 22	Główny cel skanerów	Zmiana na niestandardowy port
Firewall wyłączony	Wszystkie porty otwarte na świat	UFW – przepuszczamy tylko to, co trzeba
Domyślny network	Wysoki packet loss, duże opóźnienia	Algorytm kontroli przeciążenia BBR

Ogólny plan działania

Idziemy krok po kroku w takiej kolejności, a przy każdym kroku tłumaczę, dlaczego właśnie tak.

3. Kroki do wykonania

3.1 Pierwsze logowanie i aktualizacja systemu

Zdobądź IP serwera

Po zakupie VPS dostajesz od dostawcy:

Adres IP: np. 192.168.1.100
Port: zazwyczaj 22 (niektórzy providerzy mogą go zmienić)
Nazwa użytkownika: domyślnie root
Hasło: wygenerowany losowo ciąg znaków

Połączenie przez SSH

Użytkownicy Mac / Linux: odpal terminal i wpisz po prostu:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Użytkownicy Windows:

Windows 10/11 ma wbudowanego OpenSSH, więc powyższą komendę odpalisz bezpośrednio w PowerShellu lub CMD
Ewentualnie zgrabnie sprawdzi się Termius, MobaXterm i tym podobne narzędzia

Przy pierwszym połączeniu wyskoczy zapytanie o potwierdzenie odcisku palca:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

To pytanie brzmi wprost: „Nie znam tej maszyny, na pewno chcesz się połączyć?”

Wpisz yes i walnij Enter. Potem podaj hasło (uwaga: podczas wpisywania nic się nie wyświetli – to normalny mechanizm bezpieczeństwa) i ponownie daj Enter.

Jeśli zobaczysz coś w tym stylu, to znak, że jesteś w systemie:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Po co w ogóle sprawdzać ten odcisk?
Żeby się uchronić przed atakiem typu man-in-the-middle. Przy pierwszym logowaniu zapisujesz odcisk palca serwera, a jeśli przy kolejnej próbie połączenia nagle się zmieni, to znak, że ktoś może podszywa się pod Twoją maszynę.

Pierwsze spotkanie z serwerem

Jak już się zalogujesz, warto na luzie sprawdzić, z czym w ogóle masz do czynienia:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Zapamiętaj te info — przyda się później, jak przyjdzie coś debugować.

Aktualizacja systemu

Skoro już wiesz, co masz pod maską, pierwszy poważny krok to update systemu. Obraz na nowym serwerze może być sprzed kilku miesięcy, a od tego czasu pewnie spłynęły już jakieś łatki bezpieczeństwa:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Co oznaczają te flagi:

apt update: odświeża indeks pakietów
apt full-upgrade: podbija wersje całego softu, łącznie z kernelem
-y: zgadza się automatycznie, nie musisz ręcznie walić “yes”
apt autoremove: czyści niepotrzebne zależności
apt autoclean: czyści cache pobranych pakietów instalacyjnych

⏱️ Ten krok może zająć kilka minut, zależnie od tego, ile aktualizacji ma w sobie. Czasem w trakcie poprosi o potwierdzenie — po prostu idź za tym, co podpowiada.

Sprawdzenie, czy trzeba zrestartować

Po aktualizacji kernela zazwyczaj trzeba odpalić reboot, żeby zmiany weszły w życie:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Jeśli system krzyczy, że restart jest konieczny:

reboot

Po restarcie musisz połączyć się przez SSH od nowa.

Instalacja narzędzi, których używasz na co dzień

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Do czego służą te narzędzia:

Narzędzie	Zastosowanie
`sudo`	Pozwala zwykłym użytkownikom odpalać komendy jako administrator
`curl` / `wget`	Pobieranie plików
`git`	Kontrola wersji
`vim`	Edytor tekstu
`htop`	Ładniejszy monitor procesów
`tree`	Pokazuje strukturę katalogów jako drzewo
`net-tools`	Narzędzia sieciowe (ifconfig, netstat itd.)
`ufw`	Prosty i przyjazny firewall
`fail2ban`	Ochrona przed atakami brute-force
`neofetch`	Wyświetla info o systemie w ładnej formie

3.2 Tworzenie użytkownika innego niż root

Dlaczego nie używać po prostu roota?

Uprawnienia konta root są po prostu zbyt szerokie — jedno nieostrożne rm -rf / i wszystkiego możesz się pozbyć. Do codziennej pracy używaj zwykłego konta, a do sudo przełączaj się dopiero wtedy, gdy potrzebujesz uprawnień administratora (czyli wpisujesz sudo).

Rak (openclaw) to istny potwór — no jak w ogóle puszczać go na roota?

Tworzenie użytkownika

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

System poprosi Cię o ustawienie hasła i podanie kilku dodatkowych informacji:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Nadawanie uprawnień sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Sprawdźmy, czy działa:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Jeśli zobaczysz w odpowiedzi root, to znaczy, że konfiguracja sudo się udała.

💡 Pro tip
Wpisując exit, wrócisz do konta root. W kolejnych krokach konfigurację będziemy robić dalej jako root, a dopiero na koniec przełączymy się na zwykłego użytkownika.

3.3 Konfiguracja logowania po kluczu SSH

Logowanie kluczem vs logowanie hasłem

Logowanie kluczem jest nieporównywalnie bezpieczniejsze od hasła:

Hasło da się złamać brute force’em, klucza w praktyce nie
Nie musisz wpisywać hasła przy każdym logowaniu — o wiele wygodniej
Nawet jeśli hasło wycieknie, bez prywatnego klucza nikt się nie dostanie

Krok 1: Generowanie pary kluczy na lokalnym komputerze

Uruchom to na swoim komputerze (nie na serwerze):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Pojawi się taki komunikat:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Po prostu wciśnij Enter, żeby użyć domyślnej ścieżki. My tu użyliśmy ./ittinker, co oznacza, że plik o nazwie ittinker zostanie zapisany w bieżącym katalogu.

1	Enter passphrase (empty for no passphrase):

Możesz ustawić hasło do klucza (dodatkowa warstwa ochrony), albo po prostu wcisnąć Enter i zostawić puste.

Gdy klucz zostanie wygenerowany, w katalogu ~/.ssh/ znajdziesz dwa pliki (to domyślne nazwy, które dostaniesz, jeśli wcześniej wszędzie wciskałeś Enter):

id_ed25519: klucz prywatny, absolutnie nie może wyciec!
id_ed25519.pub: klucz publiczny, ten musisz wrzucić na serwer

💡 ed25519 czy RSA?
ed25519 to obecnie rekomendowany algorytm, bezpieczniejszy i z krótszym kluczem niż tradycyjne RSA. Jeśli twój system jest zbyt stary i go nie obsługuje, użyj ssh-keygen -t rsa -b 4096.

Mała ciekawostka: klucze wygenerowane przez ed25519 są całkiem małe, a pliki RSA potrafią być spore. Pytałem AI i się okazało, że rozmiar nie ma znaczenia — to po prostu wynika z samego algorytmu.

Krok 2: Wrzucenie klucza publicznego na serwer

Sposób A: Użycie ssh-copy-id (polecam)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Po wpisaniu hasła, klucz publiczny zostanie automatycznie skopiowany na serwer.

Sposób B: Ręczne kopiowanie

Jeśli ssh-copy-id nie zadziała, możesz to zrobić ręcznie:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Skopiuj to, co wypluje komenda (długi ciąg znaków zaczynający się od ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Uprawnienia to podstawa!
SSH jest bardzo restrykcyjne, jeśli chodzi o uprawnienia plików:
Katalog .ssh: 700 (dostęp ma tylko właściciel)
Plik authorized_keys: 600 (tylko właściciel może czytać i zapisywać)
Jeśli uprawnienia będą złe, SSH po prostu zablokuje logowanie kluczem.

Krok 3: Test logowania kluczem

Otwórz nowe okno terminala (nie zamykaj tego poprzedniego, na wypadek gdybyś coś zepsuł w konfiguracji i potrzebował ratunku) i przetestuj logowanie:

1	ssh ittinker@你的服务器IP

Jeśli zalogujesz się bez podawania hasła, to znaczy, że konfiguracja klucza się udała! 🎉

(Jeśli ustawiłeś passphrase dla swojego klucza prywatnego, system poprosi Cię o jego wpisanie – to zupełnie normalne)

Dodaliśmy tu parametr -i, ponieważ nasz klucz nie leży w domyślnej ścieżce, ale w obecnym katalogu. Jeśli go nie wskażesz, system spróbuje użyć domyślnego klucza.

3.4 Zabezpieczenie SSH

Skoro logowanie kluczem już działa, zabezpieczmy trochę nasze SSH:

Zmień domyślny port (żebyś nie był łatwym celem dla skanerów)
Wyłącz logowanie hasłem
Zablokuj bezpośrednie logowanie jako root

Edycja pliku konfiguracyjnego SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Znajdź i zmodyfikuj poniższe ustawienia (niektóre mogą być zakomentowane, więc po prostu usuń znak # z przodu):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Zapisz zmiany i wyjdź (ctrl + o).

W Nano zapisywanie to ctrl + o – zapyta o nazwę pliku, więc po prostu wciskasz Enter, a żeby wyjść, używasz ctrl + x.

Restart usługi SSH

1	systemctl restart sshd.service

⚠️ Ważna uwaga!
Nie zamykaj obecnego terminala! Najpierw otwórz nowe okno i sprawdź, czy z nową konfiguracją zalogujesz się bez problemu:
1
ssh -p 22000 yourname@你的服务器IP
Jeśli logowanie przebiegło pomyślnie, możesz zamknąć stare okno. Jeśli nie możesz się zalogować, wciąż masz stare okno, w którym możesz naprawić konfigurację.

Jeśli kupiłeś lekki serwer, najprawdopodobniej nie zmienisz tego portu, natomiast tradycyjne ECS pozwala na modyfikację – miej to na uwadze.

3.5 Konfiguracja zapory sieciowej UFW

UFW (Uncomplicated Firewall) to domyślne narzędzie zapory sieciowej w Ubuntu – proste w konfiguracji, ale z potężnymi możliwościami.

Podstawowa konfiguracja

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Włączenie zapory

1	ufw enable

Pojawi się komunikat:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Wpisz y, aby potwierdzić.

Sprawdzenie statusu

1	ufw status verbose

23022 to moja literówka, po prostu dostosujcie to do własnej sytuacji

Wynik powinien wyglądać mniej więcej tak:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Ściągawka z przydatnych komend

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Włączamy akcelerację BBR

BBR (Bottleneck Bandwidth and Round-trip propagation time) to algorytm kontroli przeciążenia TCP opracowany przez Google, który potrafi zauważalnie podkręcić wydajność sieciową.

Włączanie jednym kliknięciem

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Sprawdzamy, czy działa

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Wynik powinien wyglądać tak:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Wynik mniej więcej taki:

1	tcp_bbr 20480 3

💡 Jak działa BBR
Po włączeniu BBR, zwłaszcza przy niestabilnym połączeniu lub dużych opóźnieniach, od razu poczujesz różnicę:
Pobieranie idzie szybciej
Praca przez SSH jest płynniejsza
Strony ładują się szybciej

3.7 Konfiguracja fail2ban przeciw atakom brute-force

fail2ban monitoruje logi i automatycznie banuje IP, które zbyt często próbują się zalogować bez skutku.

Podstawowa konfiguracja

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Znajdź sekcję [sshd] i upewnij się, że masz takie ustawienia:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Uruchamianie usługi

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Sprawdzanie statusu

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Wyjście będzie wyglądać mniej więcej tak:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Przydatne komendy

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Opcjonalnie] Zarządzanie wieloma serwerami z SSH Config

Jeśli masz kilka serwerów, wpisywanie za każdym razem ssh -p 22000 user@ip bywa mega uciążliwe. Możesz to sobie mocno ułatwić, używając SSH Config.

Plik konfiguracyjny

Na swoim lokalnym komputerze edytuj plik ~/.ssh/config:

1	vim ~/.ssh/config

Dodaj konfigurację:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Jak tego używać

Teraz możesz łączyć się bezpośrednio, używając aliasu:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Koniec z pamiętaniem adresów IP, portów i nazw użytkowników!

3.9 [Opcjonalnie] Dostęp tylko dla Cloudflare

Jeśli Twoja stroda stoi całkowicie za Cloudflare, możesz skonfigurować dostęp do portów 80/443 tak, by miały go tylko adresy IP Cloudflare. To mocno podbija bezpieczeństwo.

⚠️ Uwaga: ta konfiguracja wymaga, żeby Twoja domena była już podpięta pod Cloudflare CDN.

Skrypt do automatycznej konfiguracji

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Ten skrypt zrobi:

Pobierz najnowsze zakresy IP prosto z Cloudflare
Dodaj reguły w UFW, żeby dostęp do portów 80/443 miały tylko te IP
Przeładuj UFW

Skonfiguruj automatyczne aktualizacje

Zakresy IP Cloudflare mogą się z czasem zmienić, więc ustawmy cotygodniową automatyczną aktualizację:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Ustaw strefę czasową

Domyślna strefa czasowa to prawdopodobnie UTC. Zmień ją na swoją, żeby łatwiej czytać logi:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Opcjonalnie] Skonfiguruj automatyczne aktualizacje bezpieczeństwa

Niech system sam instaluje łatki bezpieczeństwa — oszczędzisz sobie ręcznej roboty przy każdej aktualizacji:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Wybierz „Yes”, żeby włączyć automatyczne aktualizacje.

💡 Ta funkcja instaluje tylko aktualizacje bezpieczeństwa — nie uaktualni systemu do nowej dużej wersji, więc jest dość bezpieczna.

4. Podsumowanie

Lista kontrolna po inicjalizacji

Po wykonaniu powyższych kroków przejdź jeszcze raz przez tę listę kontrolną:

Sprawdzana rzecz	Polecenie	Oczekiwany rezultat
System jest zaktualizowany	`apt update && apt list --upgradable`	Brak pakietów do aktualizacji
Zwykły użytkownik ma uprawnienia sudo	`sudo whoami`	Zwraca `root`
Logowanie kluczem działa	`ssh yourname@ip -p port`	Logowanie bez hasła
Logowanie hasłem wyłączone	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
Port SSH zmieniony	`grep Port /etc/ssh/sshd_config`	Port, który ustawiłeś
Zapora sieciowa (firewall) włączona	`ufw status`	`Status: active`
BBR włączone	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban działa	`systemctl status fail2ban`	`active (running)`
Strefa czasowa ustawiona	`timedatectl`	Asia/Shanghai lub Twoja strefa
Lokalny SSH Config	`cat ~/.ssh/config`	Skonfigurowany alias serwera

Lokalizacja kluczowych plików

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Najlepsze praktyki bezpieczeństwa

Regularnie aktualizuj system: apt update && apt upgrade
Sprawdzaj logi logowania: lastb (nieudane próby), last (udane logowania)
Bieżąco monitoruj bany nałożone przez fail2ban
Zawsze rób kopię zapasową ważnych plików konfiguracyjnych przed ich modyfikacją

5. Rejestr problemów

Q1: Logowanie kluczem nie działa i nadal prosi o hasło?

Możliwe przyczyny:

Kwestie uprawnień (najczęstsza sytuacja)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Klucz publiczny nie został poprawnie skopiowany

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Interferencja SELinux (w systemach CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: Po zmianie portu nie możesz się połączyć?

Kroki do sprawdzenia:

Upewnij się, że nowy port jest otwarty na firewallu:
1
ufw status | grep 你的端口
Sprawdź, czy konfiguracja SSH jest poprawna:
1
grep Port /etc/ssh/sshd_config
Upewnij się, że usługa SSH działa:
1
systemctl status sshd
Jeśli nie możesz się w ogóle połączyć, użyj konsoli VNC u dostawcy chmury, żeby się zalogować i to naprawić.

Q2.5: Zmiana portu w ogóle nie działa? (Lekkie serwery chmurowe)

Objaw: Zmieniłeś /etc/ssh/sshd_config, a po restarcie usługi port 22 nadal nasłuchuje, a nowy port nie działa.

Jak to zdiagnozować:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Jeśli wynik wygląda mniej więcej tak:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Oznacza to, że port 22 jest nasłuchiwany przez init (PID 1), a nie przez proces sshd.

Dlaczego tak się dzieje? W przypadku niektórych dostawców chmurowych SSH w ich „lekkich serwerach aplikacyjnych” czy „instancjach kontenerowych” jest obsługiwane przez warstwę platformy, przez co konfiguracja sshd wewnątrz twojego serwera po prostu nie działa.

Jak to rozwiązać?:

Typ instancji	Jak zmienić port SSH
Tradycyjny VPS/ECS	Edycja sshd_config ✅
Lekki serwer	Może wymagać zmiany w panelu chmury, albo w ogóle nie obsługuje zmiany
Instancja kontenerowa	Zazwyczaj nie obsługuje zmiany

Jeśli twoja instancja nie pozwala na zmianę portu, inne zabezpieczenia stają się jeszcze ważniejsze:

✅ Tworzenie zwykłego użytkownika + wyłączenie logowania jako root
✅ Logowanie SSH kluczem + wyłączenie logowania hasłem
✅ fail2ban chroniący przed atakami brute-force

Jeśli ogarniesz te kroki, twoje bezpieczeństwo i tak będzie na wysokim poziomie.

Q3: fail2ban zablokował mnie samego?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Po włączeniu UFW nie da się wejść na stronę?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: Przy wykonywaniu komendy wywala błąd, że nie ma sudo?

Minimalna instalacja Debiana może nie mieć sudo, zainstaluj je z poziomu roota:

1 2	apt install sudo usermod -aG sudo ittinker

6. Skrypt do jednorazowej inicjalizacji (dla zaawansowanych)

Jeśli masz już w małym palcu powyższe kroki, możesz użyć tego skryptu, żeby błyskawicznie wszystko zainicjować.

⚠️ Uwaga: Zanim odpalisz skrypt, upewnij się, że masz już przygotowany klucz publiczny SSH.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Ile zyskujesz na bezpieczeństwie po tych krokach?

Krok	Co zrobiliśmy	Dlaczego to ważne
Aktualizacja systemu	Instalacja najnowszych łatek	Łata znane luki
Stworzenie nowego usera	Koniec z logowaniem po rootie	Zmniejsza ryzyko wpadki
Klucze SSH	Logowanie kluczem zamiast hasłem	Odporne na brute-force
Zmiana portu	Unikamy domyślnego 22	Mniejsze szanse na wykrycie przez skanery
Wyłączenie haseł	Logowanie tylko kluczem	Całkowity koniec ataków na hasła
Wyłączenie roota	Brak bezpośredniego logowania na roota	Podnosi poprzeczkę dla atakujących
Firewall UFW	Otwarte tylko niezbędne porty	Zmniejsza powierzchnię ataku
Akceleracja BBR	Optymalizacja wydajności sieci	Szybszy dostęp i lepszy ping
fail2ban	Automatyczny ban złośliwych IP	Chroni przed uporczywymi atakami

Po tym wszystkim Twoja fura jest bezpieczniejsza niż 90% VPS-ów na rynku.

Zapowiedź kolejnego wpisu

W następnym wpisie weźmiemy na warsztat Szybki przewodnik po konfiguracji logowania kluczem SSH i wejdziemy w szczegóły:

Generowanie kluczy na różnych systemach
Zarządzanie wieloma kluczami
Konfiguracja SSH Agent
Ustawienia popularnych klientów SSH

Ten wpis ostatnio zaktualizowano: styczeń 2026

Seria: Przybornik niezależnego dewelopera. Bądź na bieżąco i obserwuj!

Primeira hora com seu VPS: guia completo de bare metal a seguro e pronto pra usar (deixando seu OpenClaw mais seguro)

2026-01-21T11:51:00.000Z

Um VPS recém-comprado é como uma porta destrancada, com script kiddies do mundo inteiro batendo nela. Este artigo te ajuda a colocar uma boa fechadura. Pra deixar seu openclaw (lagostim) quieto no canto, sem correr pra lá e pra cá.

0. Antes de começar

Você acabou de comprar um VPS, pegou o IP e a senha de root todo animado, e aí?

O que muita gente faz é: sair instalando software e subindo o projeto na hora.

Esse é um hábito perigoso.

Seu VPS tem um IP público, o que significa que qualquer pessoa no mundo pode tentar se conectar a ele. E, na configuração padrão:

A porta exposta é a 22
O usuário é o onipresente root
Só te resta uma senha te protegendo

Todo dia rodam milhares de scripts automatizados escaneando faixas de IP, tentando força bruta com senhas comuns. Desde o segundo em que seu servidor fica no ar, ele já está sob ataque.

Por isso, a primeira coisa a fazer ao pegar seu VPS não é instalar software, e sim fazer a configuração de segurança inicial.

1. O objetivo

O objetivo deste artigo é:

✅ Garanta acesso remoto seguro: login por chave SSH + porta não padrão
✅ Crie um usuário comum: evite usar o root diretamente
✅ Configure o firewall: abra apenas as portas necessárias
✅ Ative a aceleração de rede: o BBR vai dar um gás na sua conexão
✅ Evite força bruta: o fail2ban bloqueia IPs maliciosos automaticamente

Com tudo isso no lugar, seu VPS vai ter uma base sólida pra você deployar qualquer serviço com tranquilidade.

2. Planejando

Por que fazer essas configurações?

Um VPS recém-comprado é como um apartamento recém-entregue, ainda na obra grossa:

Situação padrão	Risco	Nossa solução
Login direto com root	Privilégios altos, erro de operação tem consequências graves	Criar usuário comum + sudo
Login por senha	Pode ser alvo de força bruta	Login por chave SSH
Porta 22 padrão	Escaneado por bots	Mudar para porta não padrão
Firewall desativado	Todas as portas expostas	UFW libera só o necessário
Rede nativa	Perda de pacotes alta, latência alta	Algoritmo de controle BBR

Fluxo geral

Vamos seguir essa ordem, e eu explico o porquê de cada passo.

3. Passos de operação

Pegar o IP do servidor

Depois de comprar o VPS, o provedor vai te dar:

Endereço IP: algo como 192.168.1.100
Porta: geralmente é 22 (alguns provedores mudam para outra porta)
Nome de usuário: normalmente root
Senha: uma string de caracteres gerada aleatoriamente

Conexão via SSH

Usuários de Mac / Linux: abram o terminal e digitem direto:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Usuários de Windows:

O Windows 10/11 já vem com OpenSSH nativo, então dá pra usar o comando acima direto no PowerShell ou no CMD
Ou então usem ferramentas como Termius, MobaXterm e afins

Na primeira conexão, vai aparecer um aviso de confirmação de fingerprint:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

É basicamente o sistema perguntando: “Não conheço essa máquina, tem certeza que quer conectar?”

Digitem yes e apertem Enter. Depois, digitem a senha (atenção: nada vai aparecer na tela enquanto você digita, isso é normal e é uma medida de segurança), e apertem Enter de novo.

Se apareceu um aviso parecido com esse, é porque o login deu certo:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Por que confirmar a fingerprint?
Isso serve para evitar o temido “ataque man-in-the-middle”. Na primeira conexão, você anota a fingerprint do servidor. Se ela mudar nas próximas vezes que você conectar, é um sinal de que alguém pode estar se passando pelo seu servidor.

Conhecendo seu servidor

Depois de logar, vamos dar uma olhada nas informações básicas dessa máquina:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Guarda essas informações, vão ser úteis quando você precisar debugar algum problema no futuro.

Atualização do sistema

Sabendo como está o servidor, a primeira coisa séria a fazer é atualizar o sistema. A imagem do sistema de um servidor novo pode ter vários meses, e nesse meio tempo provavelmente já saíram vários patches de segurança:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Explicando os parâmetros:

apt update: atualiza o índice de pacotes
apt full-upgrade: faz o upgrade de todos os softwares, incluindo o kernel
-y: confirma automaticamente, sem precisar digitar “yes” na mão
apt autoremove: remove dependências que não são mais necessárias
apt autoclean: limpa o cache dos pacotes baixados

⏱️ Esse passo pode levar alguns minutos, dependendo do volume de atualizações. Se pedir alguma confirmação no meio do caminho, basicamente é só seguir o fluxo dele.

Checando se precisa reiniciar

Depois de atualizar o kernel, geralmente é preciso reiniciar para a atualização fazer efeito:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Se ele avisar que precisa reiniciar:

reboot

Depois de reiniciar, você vai precisar conectar via SSH de novo.

Instalando ferramentas básicas

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Para que servem essas ferramentas:

Ferramenta	Uso
`sudo`	Permite usuários comuns rodar comandos de admin
`curl` / `wget`	Baixar arquivos
`git`	Controle de versão
`vim`	Editor de texto
`htop`	Monitor de processos mais bonito
`tree`	Mostra a estrutura de diretórios em árvore
`net-tools`	Ferramentas de rede (ifconfig, netstat, etc.)
`ufw`	Firewall simples e fácil de usar
`fail2ban`	Proteção contra força bruta
`neofetch`	Mostra informações do sistema de forma bonita

3.2 Criar um usuário não-root

Por que não usar o root direto?

O usuário root tem poder demais. Num descuido simples com o rm -rf / e já era, perdeu tudo. Para o dia a dia, o ideal é usar um usuário comum e só apelar para o sudo quando precisar de privilégios de administrador.

O lobster (openclaw) é uma verdadeira fera, imagine dar logo o root pra ele, hein?

Criando o usuário

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

O sistema vai pedir para você definir uma senha e preencher alguns dados:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Concedendo privilégios sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Testando para ver se funcionou:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Se a saída for root, significa que o sudo foi configurado com sucesso.

💡 Dica de ouro
Digitando exit você volta a ser o usuário root. Nas próximas etapas, vamos continuar usando o root para fazer as configurações e, quando tudo estiver pronto, aí sim voltamos para o usuário comum.

Autenticação por chave vs. por senha

A autenticação por chave é bem mais segura do que usar senha:

Senhas podem sofrer ataque de força bruta, já as chaves são praticamente impossíveis de quebrar
Você não precisa digitar a senha toda vez, muito mais prático
Mesmo que sua senha vaze, sem a chave privada ninguém consegue logar

Passo 1: Gerar o par de chaves na sua máquina local

Execute no seu computador (não no servidor):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Vai aparecer a seguinte mensagem:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Só dá Enter para usar o caminho padrão. Aqui usamos ./ittinker , ou seja, o arquivo vai ser salvo no diretório atual com o nome ittinker

1	Enter passphrase (empty for no passphrase):

Você pode definir uma senha para a chave (uma camada extra de proteção) ou simplesmente dar Enter para deixar em branco.

Quando terminar a geração, você vai ver dois arquivos no diretório ~/.ssh/ (abaixo estão os nomes padrão, que é o que acontece se você só der Enter):

id_ed25519: chave privada, jamais pode vazar!
id_ed25519.pub: chave pública, essa vai para o servidor

💡 ed25519 vs RSA
ed25519 é o algoritmo recomendado hoje em dia, mais seguro e com chaves mais curtas que o RSA tradicional. Se o seu sistema for muito antigo e não suportar, pode usar ssh-keygen -t rsa -b 4096.

Um detalhe pequeno: a chave gerada pelo ed25519 é bem menorzinha, enquanto o arquivo do RSA é grande. Fui perguntar a IA pra entender, e o tamanho não importa, depende do algoritmo mesmo.

Passo 2: Enviar a chave pública para o servidor

Método A: Usar ssh-copy-id (recomendado)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Depois de digitar a senha, a chave pública é copiada para o servidor automaticamente.

Método B: Copiar manualmente

Se o ssh-copy-id não estiver disponível, você pode fazer de forma manual:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Copie o conteúdo gerado (um texto longo que começa com ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Permissões são muito importantes!
O SSH é bem chato com as permissões dos arquivos:
Diretório .ssh: 700 (só você consegue acessar)
Arquivo authorized_keys: 600 (só você consegue ler e escrever)
Se as permissões estiverem erradas, o SSH vai se recusar a usar a chave para o login.

Abra uma nova janela do terminal (deixe a original aberta, caso algo dê errado você ainda tem como voltar atrás) e teste o login com a chave:

1	ssh ittinker@你的服务器IP

Se você conseguir logar sem precisar digitar a senha, a configuração da chave foi um sucesso! 🎉

(Se você definiu uma passphrase para a sua chave privada, ele vai pedir essa senha, isso é totalmente normal)

Aqui adicionamos o parâmetro -i porque essa chave não está no caminho padrão, mas sim no diretório atual. Se não especificar, o sistema vai usar a chave padrão.

3.4 Reforçando a segurança do SSH

Agora que o login por chave já está funcionando, vamos deixar o SSH mais blindado:

Mudar a porta padrão (para evitar ser escaneado)
Desativar o login por senha
Bloquear o login direto do root

Editar o arquivo de configuração do SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Encontre e ajuste as configurações a seguir (algumas podem estar comentadas, é só remover o # do início):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Salve e saia (ctrl + o).

No Nano, para salvar é ctrl + o; ele vai pedir o nome do arquivo, é só dar Enter. Para sair, ctrl + x.

Reiniciar o serviço SSH

1	systemctl restart sshd.service

⚠️ Aviso importante!
Não feche o terminal atual! Primeiro, teste em uma nova janela se a nova configuração permite o login normalmente:
1
ssh -p 22000 yourname@你的服务器IP
Se conseguir logar, aí sim pode fechar a janela antiga. Se não conseguir, você ainda pode corrigir a configuração na janela antiga.

Se você comprou um servidor leve, muito provavelmente essa porta não dá pra alterar. Já as instâncias ECS tradicionais permitem a modificação, fica a dica.

3.5 Configurar o firewall UFW

O UFW (Uncomplicated Firewall) é a ferramenta de firewall padrão do Ubuntu: simples de configurar, mas muito poderosa.

Configuração básica

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Ativar o firewall

1	ufw enable

Ele vai exibir o aviso:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Digite y para confirmar.

Verificar o status

1	ufw status verbose

23022 foi um erro de digitação meu, é só seguir conforme a sua própria situação real.

A saída será algo como:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Guia rápido de comandos

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Ativando a aceleração BBR

O BBR (Bottleneck Bandwidth and Round-trip propagation time) é um algoritmo de controle de congestionamento TCP desenvolvido pelo Google, que pode melhorar significativamente o desempenho da rede.

Ativação com um clique

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Verificando se está ativado

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

A saída deve ser:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

A saída será algo como:

1	tcp_bbr 20480 3

💡 O efeito do BBR
Ao ativar o BBR, especialmente em ambientes com rede instável ou alta latência, você vai notar claramente:
Downloads mais rápidos
Operações via SSH mais fluidas
Carregamento mais rápido das páginas

3.7 Configurando o fail2ban para evitar força bruta

O fail2ban monitora os logs e, ao detectar IPs com várias tentativas de login falhadas, os bane automaticamente.

Configuração básica

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Encontre a seção [sshd] e garanta as seguintes configurações:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Iniciando o serviço

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Verificando o status

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

A saída será algo como:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Comandos mais usados

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Opcional] Gerenciar vários servidores com SSH Config

Se você tem vários servidores, digitar ssh -p 22000 user@ip toda hora é chato. Dá pra simplificar isso usando o SSH Config.

Arquivo de configuração

No seu computador local, edite o ~/.ssh/config:

1	vim ~/.ssh/config

Adicione a configuração:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Como usar

Agora você pode conectar direto usando um alias:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Fim do problema de ficar decorando IP, porta e usuário!

3.9 [Opcional] Permitir acesso apenas do Cloudflare

Se o seu site está totalmente atrás do Cloudflare, você pode configurar o firewall para permitir apenas os IPs do Cloudflare nas portas 80/443, dando um up na segurança.

⚠️ Atenção: essa configuração exige que o seu domínio já esteja usando o CDN do Cloudflare.

Script de configuração automática

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

O que esse script vai fazer:

Pegar as faixas de IP mais recentes direto do site oficial da Cloudflare
Adicionar regras no UFW para permitir o acesso às portas 80/443 apenas para esses IPs
Recarregar o UFW

Configurar atualização automática

As faixas de IP da Cloudflare podem mudar, então vamos configurar uma atualização automática semanal:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Configurar o fuso horário

O fuso horário padrão pode ser UTC. Mude para o seu fuso local para facilitar a leitura dos logs:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Opcional] Configurar atualizações de segurança automáticas

Deixe o sistema instalar os patches de segurança sozinho e não precise mais fazer isso na mão toda hora:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Escolha “Yes” para ativar as atualizações automáticas.

💡 Esse recurso instala automaticamente as atualizações de segurança, mas não faz upgrade para uma nova versão principal, então é bem tranquilo de usar.

4. Resumo

Checklist de inicialização

Depois de terminar essas configurações, passe por este checklist para conferir tudo:

Item de verificação	Comando	Resultado esperado
Sistema atualizado	`apt update && apt list --upgradable`	Nenhum pacote para atualizar
Usuário comum pode usar sudo	`sudo whoami`	Saída `root`
Login por chave funcionando	`ssh yourname@ip -p port`	Login sem necessidade de senha
Login por senha desativado	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
Porta SSH alterada	`grep Port /etc/ssh/sshd_config`	A porta que você definiu
Firewall ativado	`ufw status`	`Status: active`
BBR ativado	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban em execução	`systemctl status fail2ban`	`active (running)`
Fuso horário definido	`timedatectl`	Asia/Shanghai ou seu fuso horário
Config SSH local	`cat ~/.ssh/config`	Apelido do servidor configurado

Localização dos arquivos principais

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Melhores práticas de segurança

Mantenha o sistema atualizado regularmente: apt update && apt upgrade
Verifique os logs de login periodicamente: lastb (logins falhos), last (logins bem-sucedidos)
Fique de olho nos bloqueios do fail2ban
Faça backup dos arquivos de configuração importantes antes de modificar

5. Registro de problemas

Possíveis causas:

Problema de permissão (mais comum)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Chave pública não foi copiada direito

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Interferência do SELinux (sistemas CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: Não consegue mais conectar depois de mudar a porta?

Passos para investigar:

Confirme que a nova porta está liberada no firewall:
1
ufw status | grep 你的端口
Confirme que a configuração do SSH está correta:
1
grep Port /etc/ssh/sshd_config
Confirme que o serviço do SSH está rodando:
1
systemctl status sshd
Se não conectar de jeito nenhum, use o VNC/console do seu provedor para entrar e arrumar.

Q2.5: Mudou a porta mas simplesmente não funcionou? (Servidores leves na nuvem)

Sintoma: Você alterou o /etc/ssh/sshd_config, reiniciou o serviço, mas a porta 22 continua ativa e a nova porta não funcionou.

Como diagnosticar:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Se a saída for algo como:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Significa que a porta 22 está sendo monitorada pelo init (PID 1), e não pelo processo do sshd.

Motivo: em alguns provedores de nuvem, o SSH das instâncias do tipo “servidor de aplicação leve” ou “instância de contêiner” é gerenciado por um proxy na camada da plataforma, então a configuração do sshd dentro do seu servidor simplesmente não entra em vigor.

Solução:

Tipo de instância	Como mudar a porta do SSH
ECS tradicional	Editar o sshd_config ✅
Servidor leve	Pode ser preciso mudar no painel da nuvem, ou talvez nem seja suportado
Instância de contêiner	Em geral, não dá para mudar

Se a sua instância não deixa mudar a porta, as outras medidas de segurança pesam ainda mais:

✅ Criar um usuário comum + desativar o login como root
✅ Login por chave SSH + desativar login por senha
✅ fail2ban para barrar tentativas de força bruta

Caprichando nessas medidas, sua segurança continua bem alta.

Q3: o fail2ban me bloqueou?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: depois de ativar o UFW, o site parou de abrir?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: ao rodar um comando, aparece que o sudo não foi encontrado?

Na instalação minimalista do Debian pode não ter sudo; instale usando o root:

1 2	apt install sudo usermod -aG sudo ittinker

6. Script de inicialização com um clique (use quando já estiver craque)

Se você já dominou os passos acima, pode usar este script para inicializar rapidinho.

⚠️ Atenção: Antes de rodar o script, certifique-se de que você já tem sua chave pública SSH pronta.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Depois de tudo isso, o quanto a sua segurança melhorou?

Passo	O que foi feito	Por que é importante
Atualizar o sistema	Instalar os patches mais recentes	Corrigir vulnerabilidades conhecidas
Criar um novo usuário	Não usar mais o root diretamente	Reduzir o risco de erros de operação
Chave SSH	Usar chave no lugar de senha	Impossível de quebrar com força bruta
Trocar a porta	Fugir da padrão 22	Reduzir a chance de ser encontrado em scans
Desativar senha	Permitir login só por chave	Acabar de vez com ataques de senha
Desativar root	Root não pode logar diretamente	Aumentar a dificuldade para atacar
Firewall UFW	Abrir só as portas necessárias	Reduzir a superfície de ataque
Aceleração BBR	Otimizar a performance da rede	Melhorar a velocidade de acesso
fail2ban	Banir IPs maliciosos automaticamente	Evitar ataques contínuos

Depois de tudo isso, a segurança do seu servidor já supera a de 90% dos VPS por aí.

O que vem no próximo post

No próximo artigo a gente vai falar sobre o guia rápido de configuração de login por chave SSH, com mais detalhes sobre:

Como gerar chaves em diferentes sistemas
Gerenciamento de múltiplas chaves
Configuração do SSH Agent
Ajustes nos clientes SSH mais comuns

Última atualização deste artigo: janeiro de 2026

Série Caixa de Ferramentas do Desenvolvedor Independente — segue aí pra não perder nada!

Первый час с VPS: полное руководство по настройке от голого сервера до безопасного и готового к работе (сделай свой OpenClaw безопаснее)

2026-01-21T11:51:00.000Z

Только что купленный VPS — это как незапертая дверь, в которую стучат скрипт-кiddie со всего мира. Эта статья поможет тебе навесить надежный замок. Чтобы твой openclaw не бегал куда не надо и не шалил.

0. Вступление

Купил VPS, радостно получил IP-адрес и root-пароль, а что дальше?

Многие поступают так: сразу начинают ставить софт и деплоить проекты.

Это опасная привычка.

У твоего VPS есть публичный IP-адрес, а значит, любой человек в мире может попытаться к нему подключиться. И при стандартных настройках:

открыт порт 22
имя пользователя — всем известное root
и тебя защищает только один-единственный пароль

Ежедневно бесчисленное множество автоматических ботов сканирует диапазоны IP-адресов и пытается брутфорсить их по словарям популярных паролей. Твой сервер начинает подвергаться атакам с той самой секунды, как появляется в сети.

Поэтому первое, что нужно сделать после покупки VPS, — не устанавливать софт, а провести базовую настройку безопасности.

1. Цель

Цель этой статьи:

✅ Настраиваем безопасный удалённый доступ: вход по SSH-ключу + нестандартный порт
✅ Создаём обычного пользователя: избегаем работы напрямую от root
✅ Настраиваем файрвол: открываем только нужные порты
✅ Включаем ускорение сети: BBR — и сеть летает
✅ Защищаемся от брутфорса: fail2ban сам банит вредительские IP

Как проделаете всё это, у вашего VPS появится прочная база, и можно со спокойной душой разворачивать любые сервисы.

2. План и размышления

Зачем вообще всё это настраивать?

Только что купленный VPS — это как квартира от застройщика без отделки:

По умолчанию	Риск	Наше решение
Вход под root	Слишком широкие права, высокий риск случайных поломок	Создаем обычного юзера + sudo
Вход по паролю	Могут сбрутфорсить	Вход по SSH-ключу
Стандартный порт 22	Первая цель для сканеров	Меняем на нестандартный порт
Файрвол выключен	Все порты торчат наружу	UFW: открываем только нужное
Родная сеть	Высокий loss, большие задержки	Алгоритм BBR

Общий план

Действуем строго по этому порядку, и на каждом шаге я буду объяснять, зачем мы вообще так делаем.

3. Пошаговая настройка

3.1 Первый вход и обновление системы

Узнаем IP сервера

После покупки VPS провайдер выдаст тебе:

IP-адрес: например, 192.168.1.100
Порт: как правило, 22 (некоторые хостинги меняют его на другой)
Имя пользователя: обычно root
Пароль: сгенерированная случайная строка символов

Подключение по SSH

Пользователи Mac / Linux: откройте терминал и просто введите:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Пользователи Windows:

В Windows 10/11 уже встроен OpenSSH, так что эту же команду можно выполнить прямо в PowerShell или CMD
Либо используйте инструменты вроде Termius или MobaXterm

При первом подключении появится запрос на подтверждение отпечатка ключа:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

По сути система спрашивает: «Я эту машину не знаю, ты точно хочешь подключиться?»

Введите yes и нажмите Enter. Затем введите пароль (обратите внимание: при вводе символы не отображаются — это штатная фича безопасности) и снова жмите Enter.

Если видите примерно такое сообщение, значит, вы успешно залогинились:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Зачем вообще проверять отпечаток?
Это защита от атаки «человек посередине» (MITM). При первом подключении мы сохраняем отпечаток сервера. Если при следующем входе он вдруг изменился — это звоночек, что кто-то может притворяться вашим сервером.

Знакомимся с вашим сервером

Залогинились? Отлично, теперь давай осмотримся — посмотрим, что это вообще за машина:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Запомни эти данные, они очень пригодятся, если потом придётся что-то дебажить.

Обновление системы

Осмотр закончили, теперь к главному делу — обновляем систему. Образ на свежем сервере может быть несколько месяцев назад, а за это время уже могли выйти новые патчи безопасности:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Что значат эти параметры:

apt update: обновляет индекс пакетов
apt full-upgrade: обновляет вообще всё ПО, включая ядро
-y: соглашается на всё автоматически, чтобы не вбивать yes вручную
apt autoremove: сносит зависимости, которые больше не нужны
apt autoclean: чистит кэш скачанных установщиков

⏱️ Этот шаг может занять пару минут — зависит от объёма обновлений. Если по ходу дела улица попросит подтверждения, просто соглашайся.

Проверяем, нужен ли ребут

После обновления ядра обычно требуется перезагрузка, чтобы изменения вступили в силу:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Если намекают, что пора перезагружаться:

reboot

После ребута нужно будет заново подключиться по SSH.

Установка базовых утилит

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Зачем вообще нужны эти инструменты:

Инструмент	Назначение
`sudo`	Позволяет обычным юзерам запускать команды от рута
`curl` / `wget`	Скачивание файлов
`git`	Контроль версий
`vim`	Текстовый редактор
`htop`	Более удобный монитор процессов
`tree`	Дерево директорий
`net-tools`	Сетевые утилиты (ifconfig, netstat и т.д.)
`ufw`	Простой и понятный фаервол
`fail2ban`	Защита от брутфорса
`neofetch`	Красиво выводит инфу о системе

3.2 Создаем пользователя без прав root

Почему не стоит работать под root?

У root прав слишком много — один неловкий rm -rf /, и всего коту под хвост. Для рутины лучше использовать обычного пользователя, а права администратора подключать через sudo только когда они реально нужны.

Лобстер (openclaw) — же настоящий монстр, как можно дать ему права root?

Создаем пользователя

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Система попросит задать пароль и заполнить еще пару полей:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Даем права sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Проверяем, всё ли сработало:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Если в выводе есть root, значит sudo настроен успешно.

💡 Маленький лайфхак
Введите exit, чтобы вернуться под root. Дальше мы продолжим настройку под root, а когда закончим — переключимся обратно на обычного пользователя.

3.3 Настраиваем вход по SSH-ключу

Ключи против паролей

Вход по ключу куда безопаснее паролей:

Пароль можно сбрутфорсить, ключ — практически нереально
Не нужно каждый раз вводить пароль — сплошное удобство
Даже если пароль сольет в сеть, без приватного ключа на сервер все равно не зайти

Шаг 1: Генерируем пару ключей локально

Запускаем на своём компе (не на сервере!):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Скрипт спросит:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Просто жмём Enter, чтобы оставить путь по умолчанию. В примере выше я указал ./ittinker — это значит, что ключ сохранится в текущей папке под именем ittinker.

1	Enter passphrase (empty for no passphrase):

Тут можно задать пароль для ключа (дополнительная защита), а можно просто нажать Enter и оставить пустым.

Когда всё сгенерируется, в папке ~/.ssh/ появятся два файла (ниже указаны стандартные имена, если вы всё жали Enter):

id_ed25519: приватный ключ, ни в коем случае не светите его нигде!
id_ed25519.pub: публичный ключ, его нужно закинуть на сервер

💡 ed25519 против RSA
ed25519 — это рекомендуемый алгоритм на сегодня: он надёжнее классического RSA, а ключи получаются короче. Если ваша система совсем древняя и его не поддерживает, используйте ssh-keygen -t rsa -b 4096.

Забавная деталь: ключ ed25519 получается довольно компактным, а вот файлы RSA здоровенные. Я сам узнал у ИИ — размер тут ни при чём, всё зависит от алгоритма.

Шаг 2: Загружаем публичный ключ на сервер

Способ А: через ssh-copy-id (рекомендую)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Вводите пароль, и публичный ключ сам скопируется на сервер.

Способ Б: копируем вручную

Если ssh-copy-id не сработал, можно всё сделать руками:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Скопируй вывод (это длинная строка, которая начинается с ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Права доступа — это важно!
SSH строго следит за правами на файлы:
каталог .ssh: 700 (доступ только у самого пользователя)
файл authorized_keys: 600 (чтение и запись только у самого пользователя)
Если права неправильные, SSH просто откажется пускать тебя по ключу.

Шаг 3: Проверяем вход по ключу

Открой новое окно терминала (старое не закрывай — если накосячишь с настройками, будет шанс всё исправить) и проверь вход по ключу:

1	ssh ittinker@你的服务器IP

Если пускает без пароля — значит, ключ настроен правильно! 🎉

(Если ты задал passphrase для приватного ключа, попросит ввести пароль от самого ключа — это нормально)

Тут мы добавили параметр -i, потому что наш ключ лежит не по стандартному пути, а в текущей папке. Если не указать его явно, система будет искать ключ по умолчанию.

3.4 Усиляем безопасность SSH

Вход по ключу уже работает, давай теперь закрепим результат и настроим SSH посерьёзнее:

Меняем порт по умолчанию (чтобы не ловить сканеры)
Отключаем вход по паролю
Запрещаем прямой вход для root

Редактируем конфиг SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Находим и меняем следующие настройки (некоторые могут быть закомментированы — просто убери # в начале строки):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Сохраняемся и выходим (ctrl + o).

В Nano сохранение — это ctrl + o. Он спросит имя файла, просто жми Enter. А для выхода жми ctrl + x.

Перезапускаем службу SSH

1	systemctl restart sshd.service

⚠️ Важный момент!
Не закрывай текущий терминал! Сначала открой новое окно и проверь, нормально ли логинится с новыми настройками:
1
ssh -p 22000 yourname@你的服务器IP
Если пустило — старое окно можно закрывать. Если зайти не вышло, всегда можно вернуться в старое окно и поправить конфиг.

Если ты взял легковесный сервер, скорее всего, этот порт там изменить не выйдет. А вот на классических ECS это можно сделать, так что имей в виду.

3.5 Настройка файрвола UFW

UFW (Uncomplicated Firewall) — это стандартный файрвол в Ubuntu. Настраивать его просто, а работает он на ура.

Базовая настройка

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Включаем файрвол

1	ufw enable

Выскочит предупреждение:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Вводи y для подтверждения.

Проверяем статус

1	ufw status verbose

23022 — это я накосячил, просто ставьте под себя, и всё получится

Вывод будет примерно таким:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Шпаргалка по частым командам

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Включаем ускорение BBR

BBR (Bottleneck Bandwidth and Round-trip propagation time) — это алгоритм контроля перегрузки TCP от Google, который ощутимо прокачивает сетевую производительность.

Включаем в одно действие

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Проверяем, что всё завелось

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Вывод должен быть таким:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Вывод будет примерно таким:

1	tcp_bbr 20480 3

💡 Что даёт BBR
После включения BBR, особенно при нестабильной сети или высоком пинге, вы прямо на себе почувствуете:
Скорость загрузки выше
SSH-сессия работает плавнее
Страницы открываются быстрее

3.7 Настраиваем fail2ban для защиты от брутфорса

fail2ban мониторит логи и автоматически банит IP, с которых сыпятся неудачные попытки входа.

Базовая настройка

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Находим секцию [sshd] и проверяем, чтобы там было следующее:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Запуск службы

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Проверка статуса

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Вывод будет примерно таким:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Часто используемые команды

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Опционально] Управление несколькими серверами через SSH Config

Если у вас несколько серверов, каждый раз вводить ssh -p 22000 user@ip — та еще морока. Используйте SSH Config, чтобы всё упростить.

Файл конфигурации

Отредактируйте ~/.ssh/config на вашем локальном компьютере:

1	vim ~/.ssh/config

Добавьте конфигурацию:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Как использовать

Теперь можно подключаться напрямую через алиас:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Больше не нужно держать в голове IP-адреса, порты и имена пользователей!

3.9 [Опционально] Доступ только для Cloudflare

Если ваш сайт полностью находится за Cloudflare, можно разрешить доступ к портам 80/443 только для IP-адресов Cloudflare — так вы добавите сайту безопасности.

⚠️ Внимание: для этой настройки ваш домен уже должен быть подключен к Cloudflare CDN.

Скрипт автоматической настройки

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Этот скрипт сделает следующее:

Берём свежие диапазоны IP прямо от Cloudflare
Добавляем правила в UFW, чтобы пускать на 80/443 только эти IP
Перезагружаем UFW

Настраиваем автообновление по расписанию

Диапазоны IP у Cloudflare могут меняться, поэтому настроим еженедельное обновление автоматически:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Настройка часового пояса

По умолчанию там обычно UTC — поменяем на свой, чтобы логи было удобнее читать:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Опционально] Автоматические обновления безопасности

Пусть система сама ставит патчи безопасности, чтобы не делать всё руками каждый раз:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Выбираем «Yes», чтобы включить автообновление.

💡 Эта штука ставит только обновления безопасности и не апгрейдит систему до новых мажорных версий, так что всё довольно безопасно.

4. Подводим итоги

Чеклист после инициализации

Когда всё настроите, прогонитесь по этому чеклисту:

Что проверяем	Команда	Ожидаемый результат
Система обновлена	`apt update && apt list --upgradable`	Нет пакетов для обновления
Обычный пользователь может sudo	`sudo whoami`	Вывод `root`
Вход по ключу работает	`ssh yourname@ip -p port`	Вход без пароля
Вход по паролю отключён	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH-порт изменён	`grep Port /etc/ssh/sshd_config`	Ваш заданный порт
Файрвол включён	`ufw status`	`Status: active`
BBR включён	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban работает	`systemctl status fail2ban`	`active (running)`
Часовой пояс настроен	`timedatectl`	Asia/Shanghai или ваш часовой пояс
Локальный SSH Config	`cat ~/.ssh/config`	Алиас сервера настроен

Расположение ключевых файлов

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Лучшие практики безопасности

Регулярно обновляйте систему: apt update && apt upgrade
Регулярно проверяйте логи входа: lastb (неудачные входы), last (успешные входы)
Следите за банами в fail2ban
Делайте бэкап перед изменением важных конфигов

5. Журнал проблем

Q1: Вход по ключу не работает, всё равно просит пароль?

Возможные причины:

Проблема с правами доступа (самая частая)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Публичный ключ скопирован некорректно

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Вмешательство SELinux (в системах CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: После смены порта не можете подключиться?

Шаги для траблшутинга:

Убедитесь, что новый порт открыт в файрволе:
1
ufw status | grep 你的端口
Проверьте, что конфиг SSH настроен верно:
1
grep Port /etc/ssh/sshd_config
Убедитесь, что служба SSH запущена:
1
systemctl status sshd
Если подключиться вообще не выходит, зайдите через VNC/консоль провайдера и всё почините.

Q2.5: Смена порта вообще не сработала? (Для легких облачных серверов)

Симптом: изменили /etc/ssh/sshd_config, перезапустили службу, а 22-й порт всё ещё слушается, а новый не заработал.

Как диагностировать:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Если вывод выглядит примерно так:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

значит, 22-й порт слушает init (PID 1), а не процесс sshd.

Причина: У некоторых облачных провайдеров SSH для «облегчённых серверов приложений» или «контейнерных инстансов» проксируется на уровне платформы, поэтому настройки sshd внутри самого сервера не работают.

Решение:

Тип инстанса	Как изменить SSH-порт
Классический ECS	Редактируем sshd_config ✅
Облегчённый сервер	Возможно, придётся менять в панели управления облаком, либо вообще не поддерживается
Контейнерный инстанс	Обычно изменение не поддерживается

Если ваш инстанс не поддерживает смену порта, остальные меры безопасности выходят на первый план:

✅ Создаём обычного пользователя + отключаем вход для root
✅ Вход по SSH-ключу + отключаем вход по паролю
✅ fail2ban для защиты от брутфорса

Если всё это настроить как надо, безопасность всё равно будет на высоте.

Q3: fail2ban забанил меня самого?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: После включения UFW сайт перестал открываться?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: При запуске команд пишет, что sudo не найден?

В минимальной установке Debian sudo может отсутствовать. Установите его из-под root:

1 2	apt install sudo usermod -aG sudo ittinker

6. Скрипт одной командой (для тех, кто уже во всём разобрался)

Если вы уже освоились с шагами выше, можете использовать этот скрипт для быстрой инициализации.

⚠️ Важно: перед тем как запускать скрипт, убедись, что у тебя уже наготове SSH-ключ (публичный).

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Насколько реально выросла безопасность после всех этих шагов?

Шаг	Что сделали	Почему это важно
Обновление системы	Поставили последние патчи	Закрываем известные уязвимости
Создание нового юзера	Перестали сидеть под root	Снижаем риск случайных поломок
SSH-ключи	Заменили пароль на ключи	Взлом перебором больше не прокатит
Смена порта	Ушли со стандартного 22-го	Меньше шансов нарваться на сканеры
Отключение пароля	Оставили вход только по ключу	Полностью отсекаем атаки на пароли
Отключение root	root больше не может логиниться напрямую	Злоумышленникам сложнее пробиться
UFW (фаервол)	Открыли только нужные порты	Срезаем поверхность атаки до минимума
Ускорение BBR	Оптимизировали сеть	Сайт грузится быстрее
fail2ban	Автоматически баним плохие IP	Отбиваем постоянные атаки

После всего этого твой сервер по безопасности уже обгоняет 90% обычных VPS.

Что будет в следующей статье

В следующей части разберём шпаргалку по настройке входа по SSH-ключам и пройдёмся подробнее по таким темам:

Как генерировать ключи на разных ОС
Управление несколькими ключами
Настройка SSH Agent
Базовые настройки популярных SSH-клиентов

Статья последний раз обновлена: январь 2026 г.

Серия «Инструменты независимого разработчика» — подписывайся!

Första timmen med din nya VPS: komplett guide från bar burk till säker och användbar (gör din OpenClaw säkrare)

2026-01-21T11:51:00.000Z

Din nyinköpta VPS är som en olåst dörr – script kiddies över hela världen står och bultar på. Den här guiden visar hur du låser dörren ordentligt, så att din openclaw inte rymmer och ställer till med skit.

0. Innan vi sätter igång

Du har precis skaffat en VPS, känner dig peppad och har fått din IP och ditt root-lösenord. Vad gör du sen?

Många hoppar direkt in och börjar installera mjukvara och rulla ut sina projekt.

Det är en farlig vana.

Din VPS har en publik IP, vilket betyder att vem som helst i hela världen kan försöka koppla upp sig mot den. Och med standardinställningarna ser det ut så här:

Porten är öppen för alla: 22
Användarnamnet är det välkända root
Det enda som står mellan dig och kaos är ett enda lösenord

Varje dag skannar otaliga automatiserade skript IP-intervall och försöker brutea sig in med vanliga lösenord. Din server är under attack från sekunden den går live.

Så, allra första grejen du ska göra när du fått tag på din VPS är inte att installera mjukvara – det är att säkra upp den.

1. Målet med den här guiden

Målet med den här artikeln är:

✅ Skapa säker fjärråtkomst: SSH-nyckelinloggning + icke-standardport
✅ Skapa en vanlig användare: undvik att köra direkt som root
✅ Sätt upp en brandvägg: öppna bara de portar du faktiskt behöver
✅ Slå på nätverksoptimering: BBR får nätverket att flyga
✅ Stoppa brute force-attacker: fail2ban bannar automatiskt elaka IP:n

När du är klar med det här har din VPS en gedigen grund, och du kan lugnt börja rulla ut tjänster i den.

2. Planering och funderingar

Varför göra alla dessa inställningar?

En nyinköpt VPS är som en ny lägenhet rakt från byggentreprenören:

Standardläge	Risk	Vår lösning
Inloggning som root	För hög behörighet, stor risk vid misstag	Skapa vanlig användare + sudo
Lösenordsinloggning	Kan knäckas med brute force	SSH-nyckel-inloggning
Standardport 22	Uppsöks aktivt av skanners	Byt till icke-standardport
Brandvägg avstängd	Alla portar exponeras utåt	UFW släpper endast igenom nödvändiga portar
Ursprungligt nätverk	Hög paketförlust, hög latens	BBR-kongestionskontroll

Övergripande flöde

Vi följer den här ordningen, och jag kommer att förklara varför vi gör varje steg.

3. Steg för steg

3.1 Första inloggning och systemuppdatering

Hämta serverns IP

När du har köpt din VPS kommer leverantören att ge dig:

IP-adress: till exempel 192.168.1.100
Port: vanligtvis 22 (vissa leverantörer byter till en annan port)
Användarnamn: oftast root
Lösenord: en slumpmässigt genererad teckensträng

Anslut via SSH

Mac / Linux-användare: öppna terminalen och kör direkt:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows-användare:

Windows 10/11 har OpenSSH inbyggt, så du kan köra kommandot ovan direkt i PowerShell eller CMD
Annars kan du använda verktyg som Termius eller MobaXterm

Första gången du ansluter får du en fråga om att bekräfta fingeravtrycket:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Den frågar i princip: “Jag känner inte igen den här maskinen, är du säker på att du vill ansluta?”

Skriv yes och tryck på Enter. Skriv sedan in lösenordet (obs: inga tecken syns när du skriver, det är en vanlig säkerhetsfunktion), och tryck på Enter.

Ser du något i den här stilen betyder det att du är inloggad:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Varför ska du dubbelkolla fingeravtrycket?
Det är för att skydda dig mot “man-in-the-middle-attacker”. Genom att spara serverns fingeravtryck första gången du ansluter kan du känna igen om någon försöker imitera din server senare – om fingeravtrycket plötsligt ändras vet du att något är lurt.

Lär känna din server

När du har loggat in är det läge att kolla läget och se vad din maskin faktiskt har under huven:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Spara den här informationen någonstans, du kommer behöva den när du ska felsöka senare.

Uppdatera systemet

När du kollat av servern är det dags för det första riktiga ärendet: att uppdatera systemet. Systemavbilden på en ny server kan vara flera månader gammal, och det kan ha släppts en hel del säkerhetsuppdateringar under tiden:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Så här funkar flaggorna:

apt update: uppdaterar paketindexet
apt full-upgrade: uppgraderar alla paket, inklusive kärnan
-y: svarar automatiskt ja på allt, så du slipper knappa in “yes”
apt autoremove: städar bort beroenden som inte längre behövs
apt autoclean: rensar cachen med nedladdade installationspaket

⏱️ Det här steget kan ta några minuter beroende på hur mycket som ska uppdateras. Ibland poppar det upp en fråga under tiden – bara följ instruktionerna på skärmen så går det bra.

Kolla om du behöver starta om

Efter en kärnuppdatering brukar du behöva starta om servern för att den ska träda i kraft:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Om den säger att en omstart krävs:

reboot

Efter omstarten får du SSH:a in igen.

Installera standardverktyg

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Vad är de här verktygen till för?

Verktyg	Användning
`sudo`	Låter vanliga användare köra admin-kommandon
`curl` / `wget`	Ladda ner filer
`git`	Versionshantering
`vim`	Textredigerare
`htop`	Snyggare processövervakning
`tree`	Visar katalogstruktur som ett träd
`net-tools`	Nätverksverktyg (ifconfig, netstat m.m.)
`ufw`	Enkel och smidig brandvägg
`fail2ban`	Skydd mot brute force-attacker
`neofetch`	Snygg visning av systeminfo

3.2 Skapa en icke-root-användare

Varför inte köra direkt som root?

root-användaren har alldeles för mycket makt. Ett litet misstag med rm -rf / och allt är borta. För vardagliga sysslor bör du använda en vanlig användare och bara ta till administratörsrättigheter via sudo när det verkligen behövs.

En龙虾 (openclaw) är ju ett riktigt monster – du vågar väl inte ge den root-access?

Skapa användaren

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Systemet ber dig ställa in ett lösenord och lite annan info:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Ge sudo-rättigheter

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Dubbelkolla att det funkar:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Om utskriften blir root har sudo konfigurerats korrekt.

💡 Smartis
Skriv exit för att byta tillbaka till root-användaren. I nästa steg fortsätter vi att ställa in allt som root, och byter till den vanliga användaren när konfigurationen är klar.

3.3 Ställ in inloggning med SSH-nyckel

Nyckelautentisering vs. lösenordsautentisering

Att logga in med nycklar är mycket säkrare än med lösenord:

Lösenord kan brute-forceas, nycklar är i princip omöjliga att knäcka
Slipper knappa in lösenordet varje gång – mycket smidigare
Även om lösenordet läcker kommer ingen in utan din privata nyckel

Steg 1: Generera nyckelparet lokalt

Kör detta på din egen dator (inte på servern):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Du får den här uppmaningen:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Tryck bara Enter för att använda standardsökvägen. Här använder vi ./ittinker , vilket betyder att filen sparas i den aktuella mappen med namnet ittinker

1	Enter passphrase (empty for no passphrase):

Du kan lösenordsskydda nyckeln (ett extra lager säkerhet), eller trycka Enter direkt för att hoppa över det.

När nyckeln är genererad hittar du två filer i mappen ~/.ssh/ (nedan är standardfilnamnen, så här blir det om du tryckte Enter tidigare):

id_ed25519: privat nyckel, absolut inte får läcka ut!
id_ed25519.pub: publik nyckel, ska laddas upp till servern

💡 ed25519 vs RSA
ed25519 är den algoritm som rekommenderas idag, den är säkrare och har kortare nycklar än traditionell RSA. Om ditt system är för gammalt och inte stöder den kan du använda ssh-keygen -t rsa -b 4096.

En liten detalj: nycklarna som ed25519 genererar är ganska små, medan RSA-filerna är stora. Jag frågade AI och fick veta att storleken inte spelar någon roll, det beror bara på algoritmen.

Steg två: Ladda upp den publika nyckeln till servern

Metod A: Använd ssh-copy-id (rekommenderas)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

När du har skrivit in lösenordet kopieras den publika nyckeln automatiskt till servern.

Metod B: Kopiera manuellt

Om ssh-copy-id inte fungerar kan du göra det manuellt:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Kopiera det som skrivs ut (en lång textsträng som börjar med ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Rättigheter är superviktigt!
SSH är väldigt petigt med filrättigheter:
.ssh katalog: 700 (bara din egen användare har tillgång)
authorized_keys fil: 600 (bara din egen användare kan läsa och skriva)
Är rättigheterna fel kommer SSH att vägra använda nyckeln vid inloggning.

Steg 3: Testa nyckelinloggning

Öppna ett nytt terminalfönster (låt det ursprungliga vara öppet ifall du råkar ställa in fel så du kan åtgärda det), och testa att logga in med nyckel:

1	ssh ittinker@你的服务器IP

Om du kan logga in utan att behöva skriva in lösenord så är nyckeln korrekt konfigurerad! 🎉

(Om du har satt ett passphrase för din privata nyckel kommer du att bli ombedd att skriva in det, det är helt normalt)

Här la vi till en -i-parameter, för vi har inte den här nyckeln i standardsökvägen, utan i den aktuella sökvägen. Om vi inte anger det kommer systemet att använda standardnyckeln.

3.4 Säkra upp SSH

Nu när nyckelinloggning fungerar är det dags att härda SSH:

Ändra standardporten (slipper portscanners)
Stäng av lösenordsinloggning
Förbjuda root från att logga in direkt

Redigera SSH-konfigurationsfilen

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Leta upp och ändra följande inställningar (vissa kan vara utkommenterade, ta bort # i början):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Spara och avsluta (ctrl + o).

I Nano sparar du med ctrl + o. Den frågar efter filnamnet, tryck bara på Enter. För att avsluta trycker du ctrl + x.

Starta om SSH-tjänsten

1	systemctl restart sshd.service

⚠️ Viktig påminnelse!
Stäng inte det aktuella terminalfönstret! Testa först i ett nytt fönster att den nya konfigurationen fungerar och att du kan logga in:
1
ssh -p 22000 yourname@你的服务器IP
Om det funkar kan du stänga det gamla fönstret. Om du inte kommer in kan du fortfarande fixa konfigurationen i det gamla fönstret.

Om du har köpt en lättviktsserver är chansen stor att du inte kan ändra den här porten, men en traditionell ECS går bra att ändra. Tänk på det.

3.5 Konfigurera UFW-brandväggen

UFW (Uncomplicated Firewall) är Ubuntus standardbrandvägg. Den är enkel att ställa in men ändå riktigt kraftfull.

Grundläggande konfiguration

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Aktivera brandväggen

1	ufw enable

Du får en fråga som ser ut så här:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Skriv y för att bekräfta.

Kontrollera statusen

1	ufw status verbose

23022 var bara en slarv från min sida, ni kör bara med de värden som passar er egen situation

Utskriften ser ut ungefär så här:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Snabbreferens för vanliga kommandon

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Slå på BBR-acceleration

BBR (Bottleneck Bandwidth and Round-trip propagation time) är en TCP-styralgoritm utvecklad av Google som kan ge nätverksprestandan ett rejält lyft.

Slå på med ett klick

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Kontrollera att det är aktiverat

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Utskriften bör vara:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Utskriften ser ut ungefär så här:

1	tcp_bbr 20480 3

💡 Effekten av BBR
När du har slagit på BBR, särskilt i miljöer med instabilt nätverk eller hög fördröjning, kommer du garanterat att märka:
Snabbare nedladdningshastigheter
Mer responsiva SSH-sessioner
Snabbare webbsideladdningar

3.7 Konfigurera fail2ban för att skydda mot brute force-attacker

fail2ban håller koll på loggarna och bannlyser automatiskt IP-adresser som misslyckas med att logga in för många gånger.

Grundläggande konfiguration

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Leta upp avsnittet [sshd] och se till att följande inställningar är på plats:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Starta tjänsten

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Kolla statusen

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Utskriften ser ut ungefär så här:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Vanliga kommandon

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Valfritt] Hantera flera servrar med SSH Config

Om du har flera servrar är det ganska tråkigt att skriva in ssh -p 22000 user@ip varje gång. Du kan förenkla det rejält med hjälp av SSH Config.

Konfigurationsfil

Redigera ~/.ssh/config på din lokala dator:

1	vim ~/.ssh/config

Lägg till konfigurationen:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Så använder du det

Nu kan du koppla upp dig direkt med ett alias:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Slipper du att memorera IP, port och användarnamn!

3.9 [Valfritt] Tillåt endast Cloudflare

Om din sajt ligger helt och hållet bakom Cloudflare kan du ställa in så att port 80/443 enbart tillåter Cloudflares IP-adresser – det ger dig ett extra lager av säkerhet.

⚠️ OBS: För att den här konfigurationen ska funka måste din domän redan vara kopplad till Cloudflare CDN.

Automatiskt konfigurationsskript

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Det här skriptet kommer att:

Hämta de senaste IP-undersnäten direkt från Cloudflare
Lägg till UFW-regler så att bara dessa IP-adresser når port 80/443
Ladda om UFW

Sätt upp schemalagd uppdatering

Cloudflares IP-undersnät kan ändras med tiden, så vi ställer in en automatisk uppdatering varje vecka:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Ställ in tidszon

Standardtidszonen är antagligen UTC. Byt till din egen tidszon så är det mycket lättare att läsa loggarna:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Valfritt] Konfigurera automatiska säkerhetsuppdateringar

Låt systemet sköta installationen av säkerhetspatchar automatiskt, så slipper du göra allt manuellt varje gång:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Välj “Yes” för att aktivera automatiska uppdateringar.

💡 Den här funktionen installerar säkerhetsuppdateringar automatiskt, men uppgraderar inte till en ny stor version, så det är ganska säkert.

4. Sammanfattning

Checklista för initieringen

När du har ställt in allt ovan, kör igenom den här checklistan för att dubbelkolla:

Kontrollpunkt	Kommando	Förväntat resultat
Systemet är uppdaterat	`apt update && apt list --upgradable`	Inga paket att uppgradera
Vanlig användare kan sudo	`sudo whoami`	Skriver ut `root`
Nyckel-inloggning funkar	`ssh yourname@ip -p port`	Logga in utan lösenord
Lösenordsinloggning är avstängd	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH-porten är ändrad	`grep Port /etc/ssh/sshd_config`	Porten du valde
Brandväggen är aktiverad	`ufw status`	`Status: active`
BBR är påslaget	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban körs	`systemctl status fail2ban`	`active (running)`
Tidszon är inställd	`timedatectl`	Asia/Shanghai eller din egen tidszon
Lokal SSH Config	`cat ~/.ssh/config`	Serveralias är konfigurerat

Viktiga filplatsningar

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Säkerhetsbest practices

Uppdatera systemet regelbundet: apt update && apt upgrade
Kolla inloggningsloggar regelbundet: lastb (misslyckade inloggningar), last (lyckade inloggningar)
Håll koll på fail2ban-bannlysningar
Backa viktiga config-filer innan du ändrar dem

5. Felsökningsloggar

Q1: Nyckel-inloggningen misslyckas, du måste ändå knappa in lösenordet?

Möjliga orsaker:

Rättighetsproblem (vanligast)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Den offentliga nyckeln kopierades fel

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux strular (på CentOS/RHEL-system)
1
restorecon -Rv ~/.ssh

Q2: Kan du inte ansluta efter att ha bytt port?

Felsökningssteg:

Dubbekolla att den nya porten är öppen i brandväggen:
1
ufw status | grep 你的端口
Bekräfta att SSH-konfigurationen stämmer:
1
grep Port /etc/ssh/sshd_config
Kontrollera att SSH-tjänsten körs:
1
systemctl status sshd
Om du inte kommer in alls, logga in via din leverantörs VNC/konsol och laga det där.

Q2.5: Portändringen ger överhuvudtaget ingen effekt? (Molnleverantörers lätta servrar)

Symptom: Du ändrade /etc/ssh/sshd_config, men efter att ha startat om tjänsten lyssnar den fortfarande på port 22 och den nya porten fungerar inte.

Diagnosmetod:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Om utdatan ser ut ungefär så här:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Betyder det att port 27 lyssnas på av init (PID 1) och inte av sshd-processen.

Varför: Vissa molnleverantörers “lightweight application servers” eller “container instances” har sin SSH proxad på plattformsnivå, så din sshd-konfiguration inuti servern fungerar inte.

Lösning:

Instanstyp	Hur du ändrar SSH-porten
Traditionell ECS	Ändra i sshd_config ✅
Lightweight-server	Måste kanske ändras i molnets kontrollpanel, eller stöds inte alls
Container-instans	Stöds oftast inte att ändras

Om din instans inte stöder att byta port är andra säkerhetsåtgärder ännu viktigare:

✅ Skapa en vanlig användare + inaktivera root-inloggning
✅ SSH-nyckelinloggning + inaktivera lösenordsinloggning
✅ fail2ban mot brute force-attacker

Om du får dessa på plats är säkerheten fortfarande hög.

Q3: fail2ban har bannlyst mig själv?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Kan inte nå webbplatsen efter att UFW aktiverats?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: Kommandot säger att sudo inte hittas?

Debian minimal-installation kanske inte har sudo, installera med root:

1 2	apt install sudo usermod -aG sudo ittinker

6. One-click initieringsskript (att använda när du känner dig bekväm)

När du är bekant med stegen ovan kan du använda det här skriptet för att snabbt initiera.

⚠️ OBS: Innan du kör skriptet, se till att du redan har din SSH-publiknyckel redo.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Hur mycket säkrare har din server blivit egentligen?

Steg	Vad du gjorde	Varför det är viktigt
Uppdatera systemet	Installerade de senaste patcharna	Lagar kända sårbarheter
Skapa ny användare	Slutar använda root direkt	Minskar risken för misstag
SSH-nycklar	Bytte till nycklar istället för lösenord	Går inte att brute-forcea
Ändra port	Undviker standardport 22	Minskar chansen att bli skannad
Inaktivera lösenord	Tillåter bara inloggning med nyckel	Eliminerar lösenordsattacker helt
Inaktivera root	Root kan inte logga in direkt	Ökar svårigheten för angripare
UFW-brandvägg	Öppnar bara nödvändiga portar	Minskar angreppsytan
BBR-acceleration	Optimerar nätverksprestanda	Snabbar upp åtkomsten
fail2ban	Bannar automatiskt elaka IP-adresser	Förhindrer ihärdiga attacker

När du har kört igenom allt detta har din server redan passerat 90% av alla VPS:ar när det gäller säkerhet.

Smygtitt på nästa del

I nästa avsnitt kör vi en snabbreferens för konfiguration av SSH-nyckel-inloggning, där vi dyker djupare in i:

Hur du genererar nycklar på olika operativsystem
Hantering av flera nycklar
Konfiguration av SSH Agent
Inställningar för vanliga SSH-klienter

Senast uppdaterad: januari 2026

Serie om verktygslådan för solo-utvecklare, följ gärna med!

ชั่วโมงแรกหลังได้ VPS มา: คู่มือเซ็ตอัพเริ่มต้นจากเครื่องเปล่าจนปลอดภัยและใช้งานได้จริง (ทำให้ OpenClaw ของคุวปลอดภัยขึ้น)

2026-01-21T11:51:00.000Z

VPS เครื่องใหม่ที่เพิ่งซื้อมาก็เหมือนประตูบ้านที่ยังไม่ได้ล็อก มีสคริปต์คิดดีจากทั่วโลกคอยมาเคาะอยู่ตลอดเวลา บทความนี้จะพาคุณมาล็อกประตูให้แน่นหนา เผื่อกันลูกเล่นตัวป่วน (openclaw) ของคุณไม่ให้วิ่งแจ๋นไปไกล

0、มาวางม้ากันก่อน

เพิ่งซื้อ VPS มาใหม่ ตื่นเต้นจัด คว้า IP กับพาสเวิร์ด root มาได้แล้ว แล้วจะทำยังไงต่อ?

คนส่วนใหญ่มักจะรีบลงมือติดตั้งซอฟต์แวร์และเดployโปรเจกต์กันเลย

นี่คือนิสัยที่อันตรายชะมัด

VPS ของคุณมี Public IP อยู่ นั่นหมายความว่าใครก็ตามในโลกนี้สามารถลองเชื่อมต่อเข้ามาได้ และในค่าเริ่มต้นนั้น:

พอร์ตเปิดเผยเป็น 22
ยูสเซอร์เนมที่คนรู้จักกันดีคือ root
เหลือแค่พาสเวิร์ดตัวเดียวที่คอยปกป้องคุณอยู่

ทุกวันมีสคริปต์อัตโนมัติมากมายคอยสแกนช่วง IP เพื่อลองดรายบังคับพาสเวิร์ดที่คนใช้กันบ่อยๆ ตั้งแต่เซิร์ฟเวอร์ของคุณออนไลน์เป็นต้นมา มันก็ถูกโจมตีอยู่แล้ว

ดังนั้น สิ่งแรกที่ต้องทำหลังจากได้ VPS มา ไม่ใช่ลงซอฟต์แวร์นะ แต่คือตั้งค่าความปลอดภัยเบื้องต้นให้เรียบร้อยก่อนเลย

1、เป้าหมายที่เราจะทำ

เป้าหมายของบทความนี้คือ:

✅ ตั้งค่า การเข้าถึงระยะไกลอย่างปลอดภัย: ล็อกอินด้วย SSH Key + เปลี่ยนจากพอร์ตเริ่มต้น
✅ สร้าง ผู้ใช้ทั่วไป: เลิกใช้ root โดยตรงกันเถอะ
✅ ตั้งค่า ไฟร์วอลล์: เปิดเฉพาะพอร์ตที่จำเป็นจริงๆ
✅ เปิดใช้งาน ตัวเร่งเครือข่าย: BBR ช่วยให้เน็ตพุ่งสุดป้าย
✅ ป้องกัน การถอนรหัสผ่านแบบเดรัจฉีน: fail2ban แบน IP ตัวการให้เองอัตโนมัติ

ทำครบทุกข้อแล้ว ตอนนี้ VPS ของคุณจะมีพื้นฐานที่แน่นอน พร้อมที่จะลงมือเดploy บริการต่างๆ ได้อย่างสบายใจแล้วล่ะ

2. วางแผนและทำความเข้าใจ

ทำไมต้องมาตั้งค่าพวกนี้กันนะ?

VPS ที่เพิ่งซื้อมาใหม่ก็เหมือนบ้านที่เพิ่งสร้างเสร็จยังไม่ได้ตกแต่งเลยนั่นแหละ:

สถานะเริ่มต้น	ความเสี่ยง	ทางออกของเรา
ล็อกอินด้วย root ตรงๆ	สิทธิ์สูงเกินไป พลาดทีเดียวพังใหญ่	สร้าง user ปกติ + sudo
ล็อกอินด้วยรหัสผ่าน	โดน brute force แตกได้	ล็อกอินด้วย SSH Key
พอร์ต 22 ค่าเริ่มต้น	โดนสแกนเน้นๆ	เปลี่ยนเป็นพอร์ตที่ไม่มาตรฐาน
ปิดไฟร์วอลล์	เปิดพอร์ตหมดทุกอย่าง	UFW เปิดเฉพาะพอร์ตที่จำเป็น
เน็ตเวิร์กเดิมๆ	丢包สูง ดีเลย์มาก	อัลกอริทึมควบคุม BBR

ขั้นตอนโดยรวม

เราจะทำตามลำดับนี้เลยนะ แล้วก็จะอธิบายให้ฟังทุกขั้นตอนว่าทำไมถึงทำแบบนี้

3. ขั้นตอนการจัดการ

3.1 ล็อกอินครั้งแรกและอัปเดตระบบ

ดึง IP ของเซิร์ฟเวอร์

หลังจากซื้อ VPS แล้ว ผู้ให้บริการจะส่งอะไรมาให้บ้าง:

IP Address: เช่น 192.168.1.100
Port: ปกติจะเป็น 22 (บางผู้ให้บริการอาจเปลี่ยนเป็นพอร์ตอื่น)
Username: ปกติจะเป็น root
Password: สตริงตัวอักษรที่สุ่มสร้างขึ้นมา

การเชื่อมต่อ SSH

สำหรับสาวก Mac / Linux: เปิด Terminal แล้วพิมพ์คำสั่งนี้ลงไปได้เลย:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

สำหรับสาวก Windows:

Windows 10/11 มี OpenSSH มาให้ในตัว สามารถใช้คำสั่งด้านบนใน PowerShell หรือ CMD ได้เลย
หรือจะใช้โปรแกรมอย่าง Termius, MobaXterm ก็ได้เช่นกัน

ตอนเชื่อมต่อครั้งแรก จะมีข้อความให้ยืนยัน Fingerprint แบบนี้:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

นี่คือระบบกำลังถามเราอยู่ว่า: “ตู้นี้ของใหม่ ไม่คุ้นเคยนะ แน่ใจนะว่าจะเชื่อมต่อ?”

พิมพ์ yes แล้วกด Enter จากนั้นก็ใส่ Password (ข้อควรระวัง: ตอนพิมพ์จะไม่มีตัวอักษรขึ้นมาโชว์ให้เห็นเลย นี่คือฟีเจอร์ความปลอดภัยปกติ) แล้วกด Enter ไป

ถ้าเจอข้อความประมาณนี้ แปลว่าล็อกอินสำเร็จแล้ว:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 ทำไมต้องเช็ค Fingerprint?
เพื่อป้องกัน “Man-in-the-Middle Attack” นะฮะ การจดจำ fingerprint ตั้งแต่ครั้งแรกที่เชื่อมต่อ แล้วคราวหน้าถ้ามันเปลี่ยนไป แสดงว่าอาจมีคนแอบปลอมตัวเป็นเซิร์ฟเวอร์ของเราก็ได้

มาทำความรู้จักกับเซิร์ฟเวอร์ของคุณกันก่อน

หลังจากล็อกอินเข้าไปแล้ว มาดูสภาพรวมๆ ของเครื่องนี้กันก่อนเลย:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

จำข้อมูลพวกนี้เอาไว้นะ เดี๋ยวตอนเช็คปัญหาทีหลังจะได้มีใช้

อัปเดตระบบ

พอรู้ข้อมูลเซิร์ฟเวอร์ครบแล้ว ภารกิจแรกที่ต้องทำเลยคืออัปเดตระบบ ไอ้เดิมอิมเมจของเซิร์ฟเวอร์ใหม่อาจจะเป็นเวอร์ชั่นของเมื่อไม่กี่เดือนที่แล้ว ซึ่งช่วงนั้นอาจจะมีแพตช์ความปลอดภัยใหม่ๆ ออกมาแล้วก็ได้:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

อธิบายพารามิเตอร์:

apt update: อัปเดต index ของแพ็กเกจ
apt full-upgrade: อัปเกรดซอฟต์แวร์ทุกตัว รวมไปถึงเคอร์เนลด้วย
-y: ยืนยันอัตโนมัติ ไม่ต้องมานั่งพิมพ์ yes เอง
apt autoremove: ลบ dependency ที่ไม่ต้องใช้แล้วทิ้ง
apt autoclean: ล้างแคชของแพ็กเกจที่ดาวน์โหลดมา

⏱️ ขั้นตอนนี้อาจจะใช้เวลาสักไม่กี่นาที ขึ้นอยู่กับว่ามีอัปเดตเยอะแค่ไหน ถ้าระหว่างทางมันถามให้ยืนยันบ้าง ก็กดไปตามลอจิกของมันได้เลยครับ

เช็คดูว่าต้องรีบูตไหม

หลังอัปเดตเคอร์เนล ปกติแล้วมักจะต้องรีบูตถึงจะมีผล:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

ถ้าขึ้นมาบอกว่าต้องรีบูต:

reboot

หลังรีบูตเสร็จก็ต้องเข้ามาเชื่อมต่อ SSH ใหม่อีกรอบนะ

ติดตั้งเครื่องมือที่ใช้บ่อยๆ

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

เครื่องมือพวกนี้เอาไว้ทำอะไร:

เครื่องมือ	ไว้ทำอะไร
`sudo`	ให้ยูสเซอร์ทั่วไปรันคำสั่งแอดมินได้
`curl` / `wget`	โหลดไฟล์
`git`	คุมเวอร์ชัน
`vim`	เอดิเตอร์แต่งข้อความ
`htop`	โมนิเตอร์โปรเซสที่หน้าตาดีกว่า
`tree`	โชว์โครงสร้างโฟลเดอร์แบบต้นไม้
`net-tools`	เครื่องมือเน็ตเวิร์ก (ifconfig, netstat ฯลฯ)
`ufw`	ไฟร์วอลล์ใช้ง่ายๆ
`fail2ban`	กัน Brute-force
`neofetch`	โชว์ข้อมูลระบบสวยๆ

3.2 สร้าง User ที่ไม่ใช่ root

ทำไมไม่ใช้ root ไปเลย?

สิทธิ์ของ root มันสูงเกินไป พลาดนิดเดียว rm -rf / ก็อาจหายหมดทั้งเครื่องเลย ปกติเราควรใช้งานผ่าน user ทั่วไป แล้วค่อยเรียกใช้สิทธิ์แอดมินผ่าน sudo เมื่อไหร่ที่ต้องการจริงๆ

ลอบสเตอร์ (openclaw) มันคือมอนสเตอร์นะ จะกล้าไปยกสิทธิ์ root ให้มันใช้ได้ยังไงกัน?

สร้าง User ใหม่

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

ระบบจะให้เราตั้งรหัสผ่านและกรอกข้อมูลนิดหน่อย:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

ตั้งสิทธิ์ sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

ลองเช็คดูหน่อย:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

ถ้าขึ้นผลลัพธ์ว่า root แปลว่าตั้งค่า sudo สำเร็จแล้ว

💡 ทริคเล็กๆ
พิมพ์ exit เพื่อสลับกลับไปใช้งาน root ขั้นตอนต่อจากนี้เราจะใช้ root ตั้งค่าต่อไปก่อน พอเสร็จแล้วค่อยสลับกลับไปใช้ user ทั่วไปนะ

3.3 ตั้งค่าล็อกอินด้วย SSH Key

ยืนยันตัวตนด้วย Key vs. ใช้รหัสผ่าน

การใช้ Key ปลอดภัยกว่าใช้รหัสผ่านเยอะเลย:

รหัสผ่านโดน Brute force ได้ แต่ Key แทบจะเป็นไปไม่ได้เลย
สะดวกกว่า ไม่ต้องคอยพิมพ์รหัสผ่านทุกครั้ง
แม้รหัสผ่านจะรั่ว ถ้าไม่มี Private key ก็เข้ามาไม่ได้อยู่ดี

ขั้นตอนที่ 1: สร้าง Key pair ที่เครื่องตัวเอง

รันบน เครื่องของคุณเอง (ไม่ใช่เซิร์ฟเวอร์) นะ:

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

ระบบจะขึ้นข้อความถามแบบนี้:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

กด Enter ผ่านไปเลยเพื่อใช้พาธเริ่มต้นเลยก็ได้ ในที่นี้เราใช้ ./ittinker หมายความว่าเซฟไว้ในโฟลเดอร์ปัจจุบัน ชื่อไฟล์ ittinker

1	Enter passphrase (empty for no passphrase):

จะให้ตั้งพาสเวิร์ดป้องกันคีย์ (เพิ่มชั้นความปลอดภัย) หรือจะกด Enter ผ่านเพื่อเว้นว่างไว้เลยก็ได้

พอสร้างเสร็จ คุณจะเห็นไฟล์อยู่ในโฟลเดอร์ ~/.ssh/ 2 ไฟล์ (ด้านล่างคือชื่อไฟล์เริ่มต้นนะ ถ้ากด Enter ผ่านไปก็จะได้แบบนี้):

id_ed25519: Private Key ห้ามปล่อยให้รั่วไหลเด็ดขาด!
id_ed25519.pub: Public Key เอาไว้สำหรับอัปโหลดขึ้นเซิร์ฟเวอร์

💡 ed25519 vs RSA
ed25519 คืออัลกอริทึมที่แนะนำในตอนนี้ ปลอดภัยกว่าและคีย์สั้นกว่า RSA แบบดั้งเดิม ถ้าระบบของคุณเก่าเกินไปและไม่รองรับ ก็ใช้ ssh-keygen -t rsa -b 4096 แทนได้

เกร็ดเล็กๆ น้อยๆ นะ คีย์ที่สร้างจาก ed25519 จะมีขนาดเล็กกว่าคีย์จาก rsa ที่ไฟล์ใหญ่กว่าเยอะมาก ลองไปถาม AI ดูถึงรู้ว่าขนาดไม่ได้มีผลอะไรหรอก มันขึ้นอยู่กับอัลกอริทึมต่างหาก

ขั้นตอนที่สอง: อัปโหลด Public Key ขึ้นเซิร์ฟเวอร์

วิธี A: ใช้ ssh-copy-id (แนะนำ)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

ใส่พาสเวิร์ดเสร็จ Public Key ก็จะถูกคัดลอกขึ้นเซิร์ฟเวอร์ให้อัตโนมัติเลย

วิธี B: คัดลอกเองแบบแมนนวล

ถ้า ssh-copy-id ใช้ไม่ได้ ก็ทำแบบแมนนวลได้เลย:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

ก๊อปปี้ข้อความที่ได้ (มันจะเป็นข้อความยาวๆ ที่ขึ้นต้นด้วย ssh-ed25519)

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ เรื่อง Permission สำคัญมาก!
SSH จะเข้มงวดเรื่องสิทธิ์การเข้าถึงไฟล์อยู่แล้ว:
โฟลเดอร์ .ssh: 700 (ให้เข้าถึงได้แค่ยูสเซอร์ตัวเอง)
ไฟล์ authorized_keys: 600 (ให้แค่ยูสเซอร์ตัวเองอ่านและเขียนได้)
ถ้าตั้งสิทธิ์ผิด SSH จะไม่ยอมให้ล็อกอินด้วย Key แน่นอน

ขั้นตอนที่ 3: ทดสอบการล็อกอินด้วย Key

เปิดหน้าต่าง Terminal ใหม่ขึ้นมา (อย่าพึ่งปิดหน้าต่างเดิมนะ เผื่อไปตั้งค่าพลา้ยยังได้กู้คืน) แล้วลองทดสอบล็อกอินด้วย Key ดู:

1	ssh ittinker@你的服务器IP

ถ้าเข้าได้โดยไม่ต้องกรอกพาสเวิร์ด แปลว่าตั้งค่า Key สำเร็จแล้วจ้า! 🎉

(ถ้าตอนสร้าง Private key คุณตั้ง passphrase ไว้ มันจะขึ้นให้กรอกพาสเวิร์ดของ Private key นะ อันนี้ปกติแล้ว)

ตรงนี้เราเพิ่มพารามิเตอร์ -i เข้าไป เพราะ Key อันนี้เราไม่ได้เก็บไว้ที่ Path เริ่มต้น แต่เก็บไว้ที่ Path ปัจจุบันแทน ถ้าไม่ระบุให้ชัดเจน ระบบจะไปเรียกใช้ Key ใน Path เริ่มต้นให้เอง

3.4 ปรับแต่งความปลอดภัยให้ SSH

ตอนนี้ล็อกอินด้วย Key ใช้ได้แล้ว เรามาล็อคความปลอดภัยของ SSH ให้แน่นหนาขึ้นกันเถอะ:

เปลี่ยน Port เริ่มต้น (เพื่อกันโดนสแกน)
ปิดการล็อกอินด้วยพาสเวิร์ด
ห้าม root ล็อกอินตรงๆ

แก้ไขไฟล์ Config ของ SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

หาและแก้ไขค่า config ต่อไปนี้ (บางตัวอาจจะถูก comment ไว้ ให้ลบเครื่องหมาย # ด้านหน้าออกก่อนนะ):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

กดบันทึกแล้วออกจากโปรแกรม (ctrl + o)

สำหรับ Nano วิธีบันทึกคือกด ctrl + o แล้วมันจากถามชื่อไฟล์ กด Enter ผ่านได้เลย ส่วนวิธีออกคือกด ctrl + x

รีสตาร์ท Service ของ SSH

1	systemctl restart sshd.service

⚠️ ข้อควรระวัง!
อย่าพึ่งปิดหน้าต่าง Terminal อันปัจจุบันเด็ดขาด! ให้เปิดหน้าต่างใหม่ขึ้นมาทดสอบก่อนเลยว่า config ตัวใหม่ล็อกอินเข้าได้ปกติไหม:
1
ssh -p 22000 yourname@你的服务器IP
ถ้าเข้าได้สบาย ค่อยไปปิดหน้าต่างเก่าทิ้ง แต่ถ้าเข้าไม่ได้ ก็ยังพอมีโอกาสกลับไปแก้ config ในหน้าต่างเก่าได้อยู่

ถ้าคุณซื้อเป็นเซิร์ฟเวอร์ประเภท Lightweight ส่วนใหญ่พอร์ตนี้จะเปลี่ยนไม่ได้นะ แต่ถ้าเป็น ECS แบบดั้งเดิมจะเปลี่ยนได้ ระวังเรื่องนี้หน่อย

3.5 ตั้งค่า UFW Firewall

UFW (Uncomplicated Firewall) คือเครื่องมือ Firewall มาตรฐานของ Ubuntu ตั้งค่าง่ายแต่พลังเยอะเลย

การตั้งค่าเบื้องต้น

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

เปิดใช้งาน Firewall

1	ufw enable

ระบบจะขึ้นข้อความเตือนมา:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

พิมพ์ y เพื่อยืนยัน

เช็คสถานะ

1	ufw status verbose

23022 คือผมพิมพ์ผิดเองครับ ทุกคนใส่ตามเลขพอร์ตจริงของตัวเองได้เลยนะ

ผลลัพธ์จะออกมาประมาณนี้:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

คำสั่งที่ใช้บ่อยๆ สำหรับเรียกดู

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 เปิดใช้งาน BBR เร่งความเร็วเน็ต

BBR (Bottleneck Bandwidth and Round-trip propagation time) คืออัลกอริทึมควบคุมคอนเจสชัน TCP ที่ Google เป็นคนพัฒนาขึ้นมา ช่วยเพิ่มประสิทธิภาพเครือข่ายได้แบบชัดเจนเลยครับ

เปิดใช้งานแบบคลิกเดียว

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

ตรวจสอบว่าเปิดสำเร็จหรือยัง

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

ผลลัพธ์ที่ได้ควรจะเป็นแบบนี้:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

ผลลัพธ์จะออกมาประมาณนี้:

1	tcp_bbr 20480 3

💡 ผลลัพธ์จากการเปิด BBR
หลังจากเปิด BBR แล้ว โดยเฉพาะในสภาพแวดล้อมที่เน็ตไม่ค่อยเสถียรหรือมี latency สูง คุณจะรู้สึกได้ทันทีเลยว่า:
ความเร็วในการดาวน์โหลดเร็วขึ้น
พิมพ์คำสั่งผ่าน SSH ลื่นไหลขึ้น
โหลดหน้าเว็บเร็วกว่าเดิม

3.7 ตั้งค่า fail2ban ป้องกันการถูก Brute Force

fail2ban จะคอยเฝ้าสอดส่อง log ให้เองครับ แล้วก็จะแบน IP ที่ล็อกอินผิดพลาดหลายครั้งโดยอัตโนมัติทันที

การตั้งค่าเบื้องต้น

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

หาส่วนของ [sshd] แล้วตรวจสอบให้แน่ใจว่ามีการตั้งค่าดังนี้นะครับ:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

สตาร์ทเซอร์วิส

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

เช็คสถานะ

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Output จะประมาณนี้:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

คำสั่งที่ใช้บ่อย

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [ไม่บังคับ] จัดการเซิร์ฟเวอร์หลายตัวด้วย SSH Config

ถ้าคุณมีเซิร์ฟเวอร์หลายตัว การพิมพ์ ssh -p 22000 user@ip ทุกครั้งก็วุ่นวายอยู่พอสมควร ลองใช้ SSH Config มาช่วยให้ชีวิตง่ายขึ้นกันเถอะ

ไฟล์ Config

เปิดแก้ไข ~/.ssh/config ใน เครื่องคอมของคุณเอง นะ:

1	vim ~/.ssh/config

แล้วเพิ่ม Config ลงไป:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

วิธีใช้งาน

ตอนนี้เรียกใช้ผ่าน Alias ตรงๆ ได้เลย:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

ไม่ต้องมานั่งจำ IP, Port หรือ Username ให้ปวดหัวแล้ว!

3.9 [ไม่บังคับ] อนุญาตเฉพาะ Cloudflare เท่านั้น

ถ้าเว็บไซต์ของคุณอยู่หลัง Cloudflare แทบจะทั้งหมด ก็เซ็ตให้เข้าได้แค่ IP ของ Cloudflare ผ่าน Port 80/443 อย่างเดียวเพื่อเพิ่มความปลอดภัยได้เลย

⚠️ ระวัง: การตั้งค่านี้ต้องใช้โดเมนของคุณเชื่อมต่อกับ Cloudflare CDN ไว้แล้วนะ

สคริปต์ตั้งค่าอัตโนมัติ

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

สคริปต์นี้จะ:

ไปดึง IP range ล่าสุดจากเว็บทางการของ Cloudflare
เพิ่มกฎ UFW ให้ยอมรับเฉพาะ IP พวกนี้เข้าพอร์ต 80/443 เท่านั้น
Reload UFW ซักรอบ

ตั้งเวลอัปเดตอัตโนมัติ

IP range ของ Cloudflare อาจจะมีการเปลี่ยนแปลง เรามาตั้งให้มันอัปเดตอัตโนมัติทุกสัปดาห์กัน:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 ตั้งค่า Timezone

ค่าเริ่มต้นอาจจะเป็น UTC อยู่ เปลี่ยนเป็น Timezone ของที่คุณอยู่จะได้อ่าน Log ง่ายขึ้น:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [ไม่บังคับ] ตั้งค่าอัปเดตความปลอดภัยอัตโนมัติ

ปล่อยให้ระบบลง Security Patch เองอัตโนมัติเลย จะได้ไม่ต้องมานั่งทำเองทุกครั้ง:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

เลือก “Yes” เพื่อเปิดใช้งานการอัปเดตอัตโนมัติ

💡 ฟีเจอร์นี้จะลง อัปเดตด้านความปลอดภัย ให้อัตโนมัติ โดยจะไม่อัปเกรดข้ามไปเวอร์ชันหลัก (Major Version) ใหม่ ๆ ให้เลย ก็ถือว่าปลอดภัยอยู่

4. สรุป

Checklist สำหรับการเตรียมระบบ

หลังจากตั้งค่าทั้งหมดด้านบนเสร็จแล้ว ลองเอา Checklist นี้ไปเช็คทบทวนซักรอบ:

รายการตรวจสอบ	คำสั่ง	ผลลัพธ์ที่คาดหวัง
ระบบอัปเดตแล้ว	`apt update && apt list --upgradable`	ไม่มีแพ็กเกจให้อัปเกรด
ผู้ใช้ทั่วไปใช้ sudo ได้	`sudo whoami`	แสดงผลลัพธ์ `root`
ล็อกอินด้วย Key ปกติ	`ssh yourname@ip -p port`	ล็อกอินเข้าได้โดยไม่ต้องใส่รหัสผ่าน
ปิดการล็อกอินด้วยรหัสผ่านแล้ว	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
เปลี่ยนพอร์ต SSH แล้ว	`grep Port /etc/ssh/sshd_config`	พอร์ตที่คุณตั้งไว้
เปิดใช้งาน Firewall แล้ว	`ufw status`	`Status: active`
เปิดใช้งาน BBR แล้ว	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban กำลังทำงาน	`systemctl status fail2ban`	`active (running)`
ตั้งค่า Timezone แล้ว	`timedatectl`	Asia/Shanghai หรือเขตเวลาของคุณ
SSH Config ในเครื่อง	`cat ~/.ssh/config`	ตั้งค่าชื่อย่อเซิร์ฟเวอร์ไว้แล้ว

ตำแหน่งไฟล์สำคัญ

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

แนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุด

อัปเดตระบบเป็นประจำ: apt update && apt upgrade
เช็ค Log การล็อกอินเป็นระยะ: lastb (ล็อกอินล้มเหลว), last (ล็อกอินสำเร็จ)
ติดตามสถานะการแบนของ fail2ban อยู่เสมอ
แบ็กอัปไฟล์ Config สำคัญก่อนแก้ไขเสมอ

5. บันทึกปัญหาผิดปกติ

Q1: ล็อกอินด้วย Key ไม่ผ่าน ยังต้องใส่รหัสผ่านอยู่?

สาเหตุที่เป็นไปได้:

ปัญหาสิทธิ์ (Permission) (เจอบ่อยสุด)
1
2
3
# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

คัดลอก Public Key มาไม่ครบหรือผิด

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux มากวน (ระบบ CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: เปลี่ยน Port แล้วเข้าไม่ได้?

วิธีเช็ค:

ดูให้แน่ใจว่าเปิด Port ใหม่ใน Firewall แล้ว:
1
ufw status | grep 你的端口
เช็คดูว่าตั้งค่า SSH ถูกต้อง:
1
grep Port /etc/ssh/sshd_config
ยืนยันว่า Service ของ SSH รันอยู่:
1
systemctl status sshd
ถ้าเข้าไม่ได้เลยสักทาง ให้ใช้ VNC/Console ของผู้ให้บริการเข้าไปแก้ไข

Q2.5: เปลี่ยน Port แล้วไม่มีผลเลย? (กรณี Lightweight Server ของผู้ให้บริการ Cloud)

อาการ: แก้ /etc/ssh/sshd_config แล้ว พอ Restart Service ทีไร Port 22 ก็ยังครองอยู่ ส่วน Port ใหม่ไม่ยอมทำงาน

วิธีวินิจฉัย:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

ถ้า Output ออกมาประมาณนี้:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

แปลว่า Port 22 นั้นถูก init (PID 1) เป็นฝ่ายดักรออยู่ ไม่ใช่ Process ของ sshd นะเว้ย

เหตุผล: SSH ของบางค่ายที่เป็นแบบ “Light Application Server” หรือ “Container Instance” จะถูกจัดการผ่าน พร็อกซีระดับแพลตฟอร์ม ดังนั้นการแก้ไขค่า sshd ข้างในเซิร์ฟเวอร์ของคุณเองจึงไม่มีผล

วิธีแก้ไข:

ประเภทอินสแตนซ์	วิธีแก้ไขพอร์ต SSH
ECS แบบดั้งเดิม	แก้ไข sshd_config ✅
เซิร์ฟเวอร์เบาๆ	อาจต้องไปแก้ที่แผงควบคุมของค่ายคลาวด์ หรือไม่รองรับการแก้ไขเลย
Container Instance	ส่วนใหญ่จะไม่รองรับการแก้ไข

ถ้าอินสแตนซ์ของคุณไม่รองรับการเปลี่ยนพอร์ต มาตรการรักษาความปลอดภัยอย่างอื่นยิ่งสำคัญกว่า:

✅ สร้างผู้ใช้ทั่วไป + ปิดการล็อกอินด้วย root
✅ ล็อกอินด้วย SSH Key + ปิดการล็อกอินด้วยรหัสผ่าน
✅ ใช้ fail2ban ป้องกันการถูก Brute Force

ถ้าทำข้อเหล่านี้ครบและเหมาะสม ความปลอดภัยก็ยังถือว่าอยู่ในระดับสูงอยู่ดี

Q3: โดน fail2ban แบนตัวเอง?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: เปิด UFW แล้วเข้าเว็บไม่ได้?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: พิมพ์คำสั่งแล้วขึ้นว่าไม่พบ sudo?

บางที Debian แบบ Minimal Install อาจจะไม่มี sudo มาให้ ให้ใช้ root ในการติดตั้ง:

1 2	apt install sudo usermod -aG sudo ittinker

6. สคริปต์ตั้งค่าเริ่มต้นแบบคลิกเดียว (ใช้เมื่อคุ้นเคยแล้ว)

ถ้าคุณเก่งและคุ้นเคยกับขั้นตอนข้างต้นแล้ว ก็สามารถใช้สคริปต์นี้เพื่อตั้งค่าเริ่มต้นแบบรวดเร็วได้เลย

⚠️ สำคัญ: ก่อนจะรันสคริปต์ อย่าลืมเช็คให้แน่ใจว่าเตรียม SSH Public Key ของคุณเรียบร้อยแล้วนะ

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. ทำไปถึงนี้ ความปลอดภัยดีขึ้นขนาดไหน?

ขั้นตอน	ทำอะไรไปบ้าง	ทำไมถึงสำคัญ
อัปเดตระบบ	ลงแพตช์ล่าสุด	แก้บั๊กที่รู้ว่ามีช่องโหว่
สร้างยูสเซอร์ใหม่	เลิกใช้ root ตรงๆ	ลดความเสี่ยงพิมพ์ผิดทำเรื่องเลวร้าย
SSH Key	ใช้คีย์แทนรหัสผ่าน	กันพวกเดาพาสเวิร์ดได้เลย
เปลี่ยนพอร์ต	หนีจากพอร์ต 22 ที่เป็นค่าเริ่มต้น	ลดโอกาสโดนสแกนเจอ
ปิดรหัสผ่าน	อนุญาตให้ล็อกอินด้วยคีย์เท่านั้น	ตัดปัญหาโดนแฮ็กผ่านพาสเวิร์ดไปเลย
ปิด root	ห้ามล็อกอินด้วย root ตรงๆ	ทำให้คนร้ายบุกยากขึ้น
UFW Firewall	เปิดเฉพาะพอร์ตที่จำเป็น	ลดพื้นที่ให้คนมาโจมตี
เปิด BBR	ปรับแต่งเครือข่ายให้ลื่นขึ้น	เพิ่มความเร็วในการเข้าถึง
fail2ban	แบน IP ตัวการอัตโนมัติ	กันพวกมาก่อกวน่นต่อเนื่อง

ทำครบทุกข้อ ความปลอดภัยเซิร์ฟเวอร์ของคุณจะแซง 90% ของ VPS ทั่วไปไปแล้ว

ตอนต่อไปเราจะมาคุยกันเรื่อง

ตอนต่อไปจะพาไปดู สรุปการตั้งค่าล็อกอินด้วย SSH Key แบบเร็วๆ โดยจะเจาะลึกให้ละเอียดขึ้นในเรื่อง:

วิธีสร้างคีย์บนระบบปฏิบัติการต่างๆ
จัดการคีย์หลายๆ อัน
ตั้งค่า SSH Agent
ตั้งค่า SSH Client ยอดฮิตต่างๆ

อัปเดตล่าสุด: มกราคม 2026

ซีรีส์กล่องเครื่องมือสำหรับ Indie Dev ฝ่าฟีเจอร์เดี่ยว กดติดตามกันไว้เลย!

VPS aldıktan sonraki ilk saat: çıplak sunucudan güvenli ve kullanılabilir hale tam başlangıç rehberi (OpenClaw'ını daha güvenli yap)

2026-01-21T11:51:00.000Z

Yeni aldığın VPS, kilitlenmemiş bir kapı gibi; dünyadaki tüm script kiddie’ler kapını çalıyor. Bu yazıda o kapıyı nasıl sağlamca kilitleyeceğimizi konuşacağız. Böylece senin "openclaw"ın (yani senin projen) çöp olup dağılmasının önüne geçeceğiz.

0. Başlamadan Önce

Yeni bir VPS aldın, heyecanla IP ve root şifreni kuşandın, peki sonra?

Çok kişinin yaptığı şey şu: dalıp direkt yazılım kurmaya, projeyi deploy etmeye başlamak.

Bu tehlikeli bir alışkanlıktır.

VPS’inin genel bir IP’si var, bu da dünyadaki herkesin ona bağlanmayı deneyebileceği anlamına gelir. Üstelik varsayılan ayarlarda:

Port herkese açık 22
Kullanıcı adı herkesin bildiği root
Geriye seni koruyan tek şey bir şifre kalıyor

Her gün sayısız otomatik script IP bloklarını tarıyor ve yaygın şifrelerle kaba kuvvet (brute-force) saldırıları deniyor. Sunucun yayına girdiği ilk andan itibaren zaten saldırı altında demektir.

O yüzden, VPS’i aldıktan sonra yapman gereken ilk iş yazılım kurmak değil, güvenlik ayarlarını yapmaktır.

1. Hedefimiz

Bu yazının amacı şu:

✅ Güvenli uzaktan erişimi kur: SSH anahtarı ile giriş + varsayılan port dışı bir port kullan
✅ Standart bir kullanıcı oluştur: root olarak direkt kullanmaktan kaçın
✅ Güvenlik duvarını ayarla: Sadece gerekli portları aç
✅ Ağ hızlandırmasını aktifleştir: BBR ile ağ bağlantını turbo moda geçir
✅ Brute-force saldırılarına karşı önlem al: fail2ban ile kötü niyetli IP’leri otomatik banla

Bunları hallettikten sonra VPS’in sağlam bir temele kavuşur; artık gönül rahatlığıyla istediğin servisi deploy edebilirsin.

2. Planlama ve Düşünme

Neden bu ayarları yapıyoruz?

Yeni aldığın bir VPS, tıpkı anahtar teslimi verilen sıfır bir daire gibidir:

Varsayılan Durum	Risk	Çözümümüz
root ile doğrudan giriş	Yetki çok geniş, kazara zarar verir	Normal kullanıcı + sudo
Şifreyle giriş	Brute-force saldırısına açık	SSH anahtarıyla giriş
Varsayılan 22 portu	Tarayıcıların gözdesi	Standart dışı porta geç
Güvenlik duvarı kapalı	Tüm portlar dışa açık	UFW ile sadece gerekli portlar
Doğal ağ	Yüksek paket kaybı, gecikme	BBR sıkışma kontrolü

Genel Akış

Şu sırayla ilerleyeceğiz, her adımda neden böyle yaptığımızı da açıklayacağım.

3、İşlem Adımları

3.1 İlk Giriş ve Sistem Güncelleme

Sunucu IP’sini Alma

VPS satın aldıktan sonra, sağlayıcı sana şunları verecek:

IP adresi: Örneğin 192.168.1.100
Port: Genellikle 22 (bazı sağlayıcılar farklı bir port kullanabilir)
Kullanıcı adı: Genellikle root
Şifre: Rastgele oluşturulmuş bir karakter dizisi

SSH ile Bağlanma

Mac / Linux kullanıcıları: Terminali açın ve şunu girin:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Windows kullanıcıları:

Windows 10/11’de OpenSSH yerleşik olarak gelir, PowerShell veya CMD’de yukarıdaki komutu doğrudan kullanabilirsiniz
Ya da Termius, MobaXterm gibi araçları kullanabilirsiniz

İlk bağlantıda parmak izi onay istemi göreceksiniz:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Bu size şunu soruyor: “Bu makineyi tanımıyorum, bağlanmak istediğinizden emin misiniz?”

yes yazıp Enter’a basın. Ardından şifrenizi girin (dikkat: yazarken hiçbir karakter görünmez, bu normal bir güvenlik tasarımıdır) ve Enter’a basın.

Şuna benzer bir istem görürseniz giriş başarılı demektir:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Parmak izini neden doğrulamalıyız?
Bunun sebebi “ortadaki adam saldırılarını” (man-in-the-middle) önlemek. İlk bağlantıda sunucunun parmak izini kaydedersin; sonraki bağlantılarda bu parmak izi değişmişse, bil ki birisi sunucunu taklit etmeye çalışıyor olabilir.

Sunucunla Tanış

Giriş yaptıktan sonra, bu makinenin temel durumuna bir göz atalım:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Bu bilgileri aklında tut, ileride bir sorun çözerken mutlaka lazım olacak.

Sistem Güncelleme

Sunucu bilgilerini öğrendikten sonra, yapacağımız ilk ciddi iş sistemi güncellemek. Yeni sunucuların sistem imajı birkaç ay öncesine ait olabilir ve bu süre zarfında yeni güvenlik yamaları yayınlanmış olabilir:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Parametrelerin anlamı:

apt update: Paket indeksini günceller
apt full-upgrade: Çekirdek (kernel) dahil tüm yazılımları yükseltir
-y: Otomatik onaylar, elle “yes” yazmana gerek kalmaz
apt autoremove: Artık ihtiyaç duyulmayan bağımlılıkları siler
apt autoclean: İndirilen kurulum paketlerinin önbelleğini temizler

⏱️ Bu adım güncelleme miktarına bağlı olarak birkaç dakika sürebilir. Arada bir onay istediğinde, ekranda ne diyorsa genelde o yönde ilerlemek yeterli.

⏱️ Bu adım, güncelleme miktarına bağlı olarak birkaç dakika sürebilir. Arada bazen onay isteyebilir, ekranın söylediği gibi ilerlesen yeterli.

Yeniden Başlatma Gerekiyor mu Kontrol Et

Çekirdek (kernel) güncellemesinden sonra genellikle etkili olması için yeniden başlatma gerekir:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Eğer yeniden başlatma gerektiğine dair bir uyarı çıkarsa:

reboot

Yeniden başlatma işleminden sonra tekrar SSH ile bağlanman gerekecek.

Sık Kullanılan Araçları Kur

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Bu araçlar ne işe yarar:

Araç	Kullanım amacı
`sudo`	Normal kullanıcıların yönetici komutlarını çalıştırmasını sağlar
`curl` / `wget`	Dosya indirme
`git`	Sürüm kontrolü
`vim`	Metin editörü
`htop`	Daha şık bir süreç monitörü
`tree`	Dizin yapısını ağaç şeklinde gösterir
`net-tools`	Ağ araçları (ifconfig, netstat vb.)
`ufw`	Basit ve kullanışlı bir güvenlik duvarı
`fail2ban`	Kaba kuvvet saldırılarına karşı koruma
`neofetch`	Sistem bilgilerini şık bir şekilde gösterir

3.2 root olmayan kullanıcı oluşturma

Neden doğrudan root kullanmıyoruz?

root kullanıcısının yetkileri çok geniştir, bir anlık dalgınlıkla rm -rf / her şeyi çöpe gidebilir. Günlük işlerde normal bir kullanıcıyı kullanmalısın, yönetici yetkisi gerektiğinde ise sudo komutuna başvurursun.

openclaw denen bir canavar, ona root yetkilerini vermeye nasıl cüret edebiliriz ki?

Kullanıcı oluşturma

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Sistem sana şifre belirlemeni ve birkaç bilgi girmeni isteyecek:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

sudo yetkisi verme

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Hemen doğrulayalım:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Çıktıda root görüyorsan, sudo ayarları başarıyla tamamlanmış demektir.

💡 Küçük bir ipucu
exit yazarak tekrar root kullanıcısına dönebilirsin. Bundan sonraki adımlarda ayarları root olarak yapmaya devam edeceğiz, kurulum bitince tekrar normal kullanıcımıza geçeceğiz.

3.3 SSH anahtarı ile giriş yapma ayarları

Anahtar doğrulama mı, şifre doğrulama mı?

Anahtar doğrulama, şifreye kıyasla çok daha güvenlidir:

Şifreler brute-force saldırılarıyla kırılabilir, ama anahtarları kırmak neredeyse imkansızdır.
Her seferinde şifre yazma derdinden kurtulur, işini çok kolaylaştırır.
Şifren sızsa bile, özel anahtar (private key) olmadan sisteme girişin imkansızdır.

Adım 1: Yerel makinede anahtar çiftini oluştur

Kendi bilgisayarında (sunucuda değil) şu komutu çalıştır:

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Şöyle bir çıktı göreceksin:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Varsayılan yolu kullanmak için direkt Enter’a bas. Biz burada ./ittinker kullandık, yani dosyanın mevcut dizine ittinker adıyla kaydedilmesini istedik.

1	Enter passphrase (empty for no passphrase):

Anahtarına bir parola belirleyebilirsin (bu ekstra bir güvenlik katmanı olur), ya da boş bırakmak için direkt Enter’a basabilirsin.

İşlem bittikten sonra ~/.ssh/ dizininde iki dosya göreceksin (bunlar varsayılan dosya adlarıdır, az önce direkt Enter’a basarsan böyle olur):

id_ed25519: Özel anahtar (private key), asla sızdırmamalısın!
id_ed25519.pub: Açık anahtar (public key), bunu sunucuya yüklemen gerekiyor

💡 ed25519 mu, RSA mı?
ed25519 günümüzde önerilen algoritmadır; eski usul RSA’dan daha güvenlidir ve anahtar boyutu daha kısadır. Sistemin çok eskiyse ve desteklemiyorsa ssh-keygen -t rsa -b 4096 kullanabilirsin.

Küçük bir detay: ed25519 ile üretilen anahtar dosyaları oldukça küçük olurken, RSA’nın dosyaları çok büyüyor. Yapay zekaya sorduğumda öğrendim: dosya boyutunun bir önemi yok, önemli olan kullanılan algoritma.

İkinci adım: Açık anahtarı sunucuya yükle

Yöntem A: ssh-copy-id kullan (önerilen)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Sunucu parolanı girdikten sonra, açık anahtarın otomatik olarak sunucuya kopyalanır.

Yöntem B: Elle kopyala

Eğer ssh-copy-id çalışmazsa, elle de yapabilirsin:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Çıktıyı kopyala (ssh-ed25519 ile başlayan o uzun metni).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ İzinler çok önemli!
SSH dosya izinleri konusunda oldukça katıdır:
.ssh dizini: 700 (sadece kullanıcının kendisi erişebilir)
authorized_keys dosyası: 600 (sadece kullanıcının kendisi okuyup yazabilir)
İzinleri yanlış ayarlarsan SSH, anahtarla girişi reddeder.

Üçüncü adım: Anahtarla girişi test et

Yeni bir terminal penceresi aç (orijinal pencereyi kapatma, bir şeyleri yanlış yaparsan geri dönmen için can simididir) ve anahtarla girişi test et:

1	ssh ittinker@你的服务器IP

Şifre girmeden giriş yapabiliyorsan, anahtar kurulumu başarılı demektir! 🎉

(Eğer özel anahtarın için bir passphrase belirlediysen, senden bu şifreyi istemesi normaldir)

Buraya bir -i parametresi ekledik çünkü bu anahtarı varsayılan yola değil, mevcut dizine koyduk. Belirtmezsek sistem varsayılan anahtarı kullanır.

3.4 SSH Güvenliğini Sağlamlaştırma

Anahtarla giriş artık çalıştığına göre, SSH bağlantısını biraz daha sağlamlaştıralım:

Varsayılan portu değiştir (tarayıcılardan kaçınmak için)
Şifreyle girişi devre dışı bırak
root kullanıcısının doğrudan giriş yapmasını engelle

SSH yapılandırma dosyasını düzenle

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Aşağıdaki ayarları bul ve düzenle (bazıları yorum satırı olarak işaretlenmiş olabilir, başlarındaki # işaretini kaldır):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Kaydet ve çık (ctrl + o).

Nano’da kaydetmek için ctrl + o tuşlarına bas, sana dosya adını soracak, direkt Enter’a basıp geç, çıkmak için ise ctrl + x yapıyorsun.

SSH servisini yeniden başlat

1	systemctl restart sshd.service

⚠️ Önemli Uyarı!
Mevcut terminali kapatma! Önce yeni bir pencerede açıp yeni ayarlarla sorunsuz giriş yapabildiğini test et:
1
ssh -p 22000 yourname@你的服务器IP
Giriş yapabiliyorsan eski pencereyi kapatabilirsin. Giriş yapamıyorsan, eski pencerede ayarları düzeltme şansın hâlâ var.

Eğer hafif sunucu (lightweight) aldıysan, büyük ihtimalle bu portu değiştiremezsin; geleneksel ECS’lerde ise bu değişiklik yapılabilir, buna dikkat et.

3.5 UFW güvenlik duvarını yapılandır

UFW (Uncomplicated Firewall), Ubuntu’nun varsayılan güvenlik duvarı aracıdır; ayarı basittir ama işlevi güçlüdür.

Temel yapılandırma

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Güvenlik duvarını etkinleştir

1	ufw enable

Şu uyarıyı göreceksin:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Onaylamak için y yaz.

Durumu kontrol et

1	ufw status verbose

23022 kısmını yanlış yazmışım, siz kendi durumunuza göre ayarlarsınız, takılmayın buna

Çıktı şu şekilde olmalı:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Sık kullanılan komutlar hızlı rehber

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 BBR hızlandırmasını açma

BBR (Bottleneck Bandwidth and Round-trip propagation time), Google tarafından geliştirilmiş bir TCP tıkanıklık kontrol algoritmasıdır ve ağ performansını ciddi şekilde artırır.

Tek tıkla aç

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Açılıp açılmadığını doğrulama

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Çıktı şu olmalı:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Çıktı şu şekilde:

1	tcp_bbr 20480 3

💡 BBR’nin etkisi
BBR’yi açtıktan sonra, özellikle ağın dengesiz olduğu veya gecikmenin yüksek olduğu durumlarda şunu net hissedeceksin:
İndirme hızı daha hızlı
SSH işlemleri daha akıcı
Web sayfaları daha hızlı yüklenir

3.7 fail2ban ile kaba kuvvet saldırılarına karşı koruma

fail2ban logları izler ve birden fazla kez giriş yapamayan IP’leri otomatik olarak banlar.

Temel yapılandırma

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

[sshd] kısmını bul ve şu ayarlardan emin ol:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Servisleri başlatma

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Durumu kontrol etme

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Çıktı şu şekilde görünür:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Sık kullanılan komutlar

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [İsteğe bağlı] SSH Config ile birden fazla sunucu yönetimi

Eğer birden fazla sunucun varsa, her seferinde ssh -p 22000 user@ip yazmak oldukça yorucu olabilir. SSH Config kullanarak bu süreci basitleştirebilirsin.

Yapılandırma dosyası

Kendi bilgisayarında ~/.ssh/config dosyasını düzenle:

1	vim ~/.ssh/config

Yapılandırmayı ekle:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Kullanımı

Artık doğrudan alias ile bağlanabilirsin:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

IP, port ve kullanıcı adını ezberleme derdi tamamen bitti!

3.9 [İsteğe bağlı] Sadece Cloudflare erişimine izin verme

Siten tamamen Cloudflare arkasındaysa, güvenliği artırmak için 80/443 portlarına yalnızca Cloudflare IP’lerinin erişmesine izin verecek şekilde ayarlayabilirsin.

⚠️ Dikkat: Bu yapılandırma için alan adının önceden Cloudflare CDN’e bağlanmış olması gerekir.

Otomatik yapılandırma betiği

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Bu betik şu işlemleri yapar:

Cloudflare’ın resmi sayfasından en güncel IP bloklarını al
UFW kuralı ekle, 80/443 portlarına yalnızca bu IP’lerden erişime izin ver
UFW’yi yeniden yükle

Otomatik güncellemeyi zamanla

Cloudflare’ın IP blokları zamanla değişebilir, bu yüzden haftalık otomatik güncelleme ayarlayalım:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Saat dilimini ayarla

Varsayılan saat dilimi muhtemelen UTC’dir; logları daha kolay okuyabilmen için bulunduğun saat dilimine değiştir:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [İsteğe bağlı] Otomatik güvenlik güncellemelerini yapılandır

Sistemin güvenlik yamalarını otomatik kurmasını sağla, böylece her seferinde elle uğraşmak zorunda kalmazsın:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Otomatik güncellemeleri etkinleştirmek için “Yes” seçeneğini işaretle.

💡 Bu özellik yalnızca güvenlik güncellemelerini otomatik kurar; sistemi yeni bir ana sürüme yükseltmez, yani oldukça güvenli bir yöntemdir.

4. Özet

Başlatma kontrol listesi

Yukarıdaki yapılandırmaları tamamladıktan sonra, her şeyin yerinde olduğundan emin olmak için şu listeyi bir gözden geçir:

Kontrol Adımı	Komut	Beklenen Sonuç
Sistem güncel	`apt update && apt list --upgradable`	Yükseltilecek paket yok
Sudo yetkisi çalışıyor	`sudo whoami`	`root` çıktısı
Anahtar girişi çalışıyor	`ssh yourname@ip -p port`	Şifresiz giriş
Şifre girişi devre dışı	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH portu değiştirildi	`grep Port /etc/ssh/sshd_config`	Ayarladığın port
Güvenlik duvarı aktif	`ufw status`	`Status: active`
BBR etkin	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban çalışıyor	`systemctl status fail2ban`	`active (running)`
Zaman dilimi ayarlandı	`timedatectl`	Asia/Shanghai veya senin zaman dilimin
Yerel SSH Config	`cat ~/.ssh/config`	Sunucu takma adı yapılandırıldı

Önemli Dosya Konumları

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Güvenlik İçin En İyi Pratikler

Sistemi düzenli güncelle: apt update && apt upgrade
Giriş loglarını düzenli kontrol et: lastb (başarısız girişler), last (başarılı girişler)
fail2ban ban durumunu takip et
Önemli yapılandırma dosyalarını değiştirmeden önce yedek al

5. Sorun Giderme

S1: Anahtar girişi başarısız, hâlâ şifre mi istiyor?

Olası nedenler:

Yetki sorunu (en yaygını)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Public key doğru kopyalanmamış

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

SELinux müdahalesi (CentOS/RHEL sistemlerde)
1
restorecon -Rv ~/.ssh

Q2: Portu değiştirince bağlanamıyor musun?

Çözüm adımları:

Yeni portun güvenlik duvarında (firewall) açıldığından emin ol:
1
ufw status | grep 你的端口
SSH ayarlarının doğru olduğundan emin ol:
1
grep Port /etc/ssh/sshd_config
SSH servisinin çalıştığından emin ol:
1
systemctl status sshd
Hala bağlanamıyorsan, bulut sağlayıcısının VNC/konsolu üzerinden giriş yapıp düzelt.

Q2.5: Port değişikliği hiç mi işe yaramadı? (Bulut sağlayıcılarının hafif sunucuları)

Belirti: /etc/ssh/sshd_config değiştirdin, servisi yeniden başlattın ama 22 portu hâlâ açık, yeni port devreye girmedi.

Teşhis yöntemi:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Çıktı şu tarzdaysa:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

22 portunun init (PID 1) tarafından dinlendiğini, yani sshd sürecinin değil, anlamına gelir.

Nedeni: Bazı bulut sağlayıcılarının “hafif uygulama sunucuları” veya “konteyner örnekleri” SSH bağlantılarını platform katmanında proxy üzerinden yönetir. Yani sunucunun içindeki sshd ayarlarını değiştirmenin hiçbir etkisi olmaz.

Çözüm:

Örnek Türü	SSH Portunu Değiştirme Yöntemi
Geleneksel ECS	sshd_config dosyasını düzenle ✅
Hafif Sunucu	Bulut kontrol panelinden değiştirmen gerekebilir ya da hiç desteklenmeyebilir
Konteyner Örneği	Genellikle değiştirilemez

Eğer instance’ında portu değiştiremiyorsan, diğer güvenlik önlemleri çok daha kritik hale gelir:

✅ Standart bir kullanıcı oluştur + root girişini kapat
✅ SSH anahtarı ile giriş yap + şifreli girişi devre dışı bırak
✅ Brute-force saldırılarına karşı fail2ban kullan

Bunları eksiksiz yaparsan, güvenlik seviyen yine de oldukça yüksek olur.

Q3: fail2ban beni kendi IP’mden mi banladı?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: UFW’yi açtıktan sonra siteye erişemiyor musun?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: Komut çalıştırınca sudo bulunamadı hatası mı alıyorsun?

Debian minimal kurulumlarda sudo yüklü gelmeyebilir. root olarak giriş yapıp şunu yükleyebilirsin:

1 2	apt install sudo usermod -aG sudo ittinker

6. Tek tıkla başlatma betiği (Alıştıktan sonra kullan)

Eğer yukarıdaki adımlara artık iyice alıştıysan, bu betiği kullanarak sunucunu hızlıca baştan kurabilirsin.

⚠️ Dikkat: Betiği çalıştırmadan önce SSH public key’inin hazır olduğundan emin ol.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Bunları yaptıktan sonra güvenlik ne kadar arttı?

Adım	Ne yaptık?	Neden önemli?
Sistem güncelleme	En son yamaları kurduk	Bilinen açıkları kapattık
Yeni kullanıcı oluşturma	Artık root’u doğrudan kullanmıyoruz	Yanlışlıkla yapılacak işlemlerin riskini azaltır
SSH anahtarı	Şifre yerine anahtarla girişe geçtik	Brute-force ile kırılamaz
Port değiştirme	Varsayılan 22 portundan uzaklaştık	Taranıp bulunma olasılığını düşürür
Şifre girişini devre dışı bırakma	Sadece anahtarla girişe izin verdik	Şifre saldırılarını tamamen ortadan kaldırır
Root girişini devre dışı bırakma	root artık doğrudan giriş yapamıyor	Saldırı zorluğunu artırır
UFW güvenlik duvarı	Sadece gerekli portları açtık	Saldırı yüzeyini daraltır
BBR hızlandırma	Ağ performansını optimize ettik	Erişim hızını artırır
fail2ban	Kötü niyetli IP’leri otomatik banladık	Sürekli saldırıları engeller

Bunları hallettikten sonra, sunucunun güvenliği VPS’lerin %90’ını geride bırakıyor demektir.

Sıradaki yazıdan haberler

Sıradaki yazıda SSH anahtarı ile giriş yapılandırması hızlı rehberi konusunu ele alacağız ve şu konuları daha detaylıca inceleyeceğiz:

Farklı işletim sistemlerinde anahtar oluşturma yöntemleri
Birden fazla anahtarı yönetme
SSH Agent yapılandırması
Yaygın SSH istemcisi ayarları

Yazının son güncellenme tarihi: Ocak 2026

Bağımsız geliştirici araç kutusu serisi, takipte kal!

Перша година з VPS: повний гайд з налаштування з нуля до безпечної робочої системи (робимо твій OpenClaw безпечнішим)

2026-01-21T11:51:00.000Z

Щойно куплений VPS — це як незачинені двері: скрипт-кіди з усього світу вже стукають у них. Ця стаття покаже, як надійно замкнути ці двері, щоб твій openclaw не розбігався і не накоїв дурниць.

0. Вступне слово

Тільки-но купив VPS, радісно отримав IP-адресу та root-пароль, а далі що?

Більшість людей робить так: одразу починають ставити софт і розгортати проєкти.

Це дуже небезпечна звичка.

Твій VPS має публічну IP-адресу, а отже будь-хто у світі може спробувати до нього підключитися. І за замовчуванням:

відкритий порт 22
всім відомий юзернейм root
і лише один пароль захищає тебе

Щодня безліч автоматизованих скриптів сканують діапазони IP, намагаючись збрутити паролі по словниках. Твій сервер атакують ще з тієї самої миті, як він з’явився в мережі.

Тому перша справа після купівлі VPS — не ставити софт, а зробити базове налаштування безпеки.

1. Яка наша мета

Мета цієї статті:

✅ Налаштуй безпечний віддалений доступ: вхід через SSH-ключі + нестандартний порт
✅ Створи звичайного користувача: уникай прямого використання root
✅ Налаштуй фаєрвол: відкривай лише необхідні порти
✅ Увімкни прискорення мережі: BRR змусить мережу летіти
✅ Захистись від брутфорсу: fail2ban автоматично блокуватиме зловмисні IP

Після цього твій VPS матиме міцний фундамент, і ти зможеш спокійно розгортати будь-які сервіси.

2. План та роздуми

Навіщо все це робити?

Щойно куплений VPS — це як квартира в будинку, яку щойно здали в експлуатацію без оздоблення:

Стандартний стан	Ризик	Наше рішення
Вхід прямо як root	Забагато прав, ризик фатальної помилки	Створюємо звичайного юзера + sudo
Вхід за паролем	Можна збрутфорсити	Вхід через SSH-ключ
Стандартний порт 22	Сканери лізнуть до нього першими	Змінюємо на нестандартний порт
Фаєрвол вимкнено	Усі порти торчать назовні	UFW відкриває лише потрібне
Звичайна мережа	Високі втрати пакетів, пінги	Алгоритм контролю BBR

Загальний процес

Робитимемо все крок за кроком у такому порядку, і я поясню, чому робимо саме так.

3. Кроки

3.1 Перший вхід і оновлення системи

Дістаємо IP сервера

Після покупки VPS провайдер видасть тобі:

IP-адреса: наприклад 192.168.1.100
Порт: зазвичай 22 (деякі провайдери можуть змінювати його на інший)
Ім’я користувача: зазвичай root
Пароль: випадково згенерований набір символів

Підключення через SSH

Для користувачів Mac / Linux: відкрийте термінал і просто введіть:

1 2	ssh root@你的服务器IP # 例如：ssh root@123.45.67.89

Для користувачів Windows:

Windows 10/11 має вбудований OpenSSH, тож ви можете виконати цю саму команду прямо в PowerShell або CMD
Або скористайтеся інструментами на кшталт Termius або MobaXterm

Під час першого підключення ви побачите запит на підтвердження відбитка ключа:

1
2
3

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Це система питає: «Я не знаю цю машину, ти точно хочеш підключитися?»

Введіть yes і натисніть Enter. Далі введіть пароль (зверніть увагу: під час введення символи не відображаються — це стандартна функція безпеки) і натисніть Enter.

Якщо бачите приблизно таке повідомлення, значить, ви успішно увійшли:

1
2
3

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.x.x-x-generic x86_64)
...
root@hostname:~#

💡 Навіщо перевіряти відбиток?
Це захист від так званих атак «людина посередині» (Man-in-the-Middle). Коли ви підключаєтесь вперше, ви запам’ятовуєте відбиток сервера. Якщо під час наступних підключень він раптом зміниться — це червоний прапорець, хтось міг підмінити ваш сервер.

Знайомство з вашим сервером

Щойно зайшли, давай одразу розвідаемо обстановку і подивимось, що це за машина:

# 查看系统版本
cat /etc/os-release

# 查看内核版本
uname -r

# 查看 CPU 核心数和型号
nproc
lscpu | grep "Model name"

# 查看内存
free -h

# 查看磁盘
df -h

Запам’ятай ці дані, вони дуже стануть в пригоді, коли будемо копатися в проблемах пізніше.

Оновлення системи

Розвідку провели, тепер за першу справу беремось за оновлення системи. Образ на новому сервері може бути ще з кількох місяців тому, а за цей час вже могли вийти свіжі патчі безпеки:

1 2	# 更新软件包列表 + 升级所有软件 + 清理 apt update && apt full-upgrade -y && apt autoremove -y && apt autoclean

Що тут до чого:

apt update: оновлюємо індекс пакетів
apt full-upgrade: апгрейдим усі пакети, включно з ядром
-y: автоматично погоджуємось, щоб не вводити yes вручну
apt autoremove: підмітаємо вже непотрібні залежності
apt autoclean: чистимо кеш завантажених пакетів

⏱️ Цей крок може зайняти кілька хвилин, залежить від того, як багато накопилось оновлень. Якщо по ходу справи щось попросить підтвердити — просто йдемо за підказками, там все зрозуміло.

Перевірка, чи потрібен перезапуск

Після оновлення ядра зазвичай треба перезавантажитись, щоб воно запустилось:

1 2	# 检查是否需要重启 cat /var/run/reboot-required 2>/dev/null && echo ">>> 需要重启" \|\| echo ">>> 无需重启"

Якщо напише, що перезавантаження необхідне:

reboot

Після рестарту просто підключаємось по SSH знову.

Встановлення базових утиліт

1	apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

Навіщо потрібні ці інструменти:

Інструмент	Призначення
`sudo`	Дозволяє звичайним юзерам виконувати команди від адміна
`curl` / `wget`	Завантаження файлів
`git`	Контроль версій
`vim`	Текстовий редактор
`htop`	Зручніший моніторинг процесів
`tree`	Деревоподібний показ структури директорій
`net-tools`	Мережеві утиліти (ifconfig, netstat тощо)
`ufw`	Простий і зручний фаєрвол
`fail2ban`	Захист від брутфорсу
`neofetch`	Гарно виводить інформацію про систему

3.2 Створюємо звичайного користувача (не root)

Чому не варто сидіти під root?

У root прав занадто багато — одна невелика помилка, і rm -rf / — прощавай, усе злетіло. Для щоденних завдань краще використовувати звичайного юзера, а права адміністратора підкидувати через sudo, коли вони реально потрібні.

Лобстер (openclaw) — це ж справжній монстр, хто йому root-права в руки дасть?

Створюємо користувача

1 2	# 创建用户（把 ittinker 换成你想要的用户名） adduser ittinker

Система попросить задати пароль та заповнити кілька полів з інформацією:

New password:              # 输入密码（不会显示）
Retype new password:       # 再输入一次
Full Name []:              # 可以直接回车跳过
Room Number []:            # 回车跳过
Work Phone []:             # 回车跳过
Home Phone []:             # 回车跳过
Other []:                  # 回车跳过
Is the information correct? [Y/n]   # 输入 Y 确认

Даємо права sudo

1 2	# 把用户加入 sudo 组, ittinker 换成你自己上面创建的那个用户 usermod -aG sudo ittinker

Перевіряємо, чи все запрацювало:

# 切换到新用户 ittinker 换成你自己上面创建的那个用户
su - ittinker

# 测试 sudo 是否生效
sudo whoami

Якщо у відповідь бачите root, значить, sudo налаштовано успішно.

💡 Маленький лайфхак
Введіть exit, щоб повернутися до root. Далі ми ще трохи повозимося з налаштуваннями під root-ом, а коли закінчимо — просто перемкнемося назад на звичайного користувача.

3.3 Налаштовуємо вхід за SSH-ключем

Ключі замість паролів

Авторизація за ключем — це набагато безпечніше за паролі:

Пароль можна збрутфорсити, а підібрати ключ — практично нереально
Не треба вводити пароль щоразу, це просто зручніше
Навіть якщо пароль злили, без приватного ключа ніхто не зможе увійти

Крок 1: Генеруємо пару ключів локально

Виконай на своєму комп’ютері (не на сервері):

1 2	# 生成 ED25519 密钥（推荐，更安全更快） ssh-keygen -t ed25519 -C "blog@ittinker.com"

Скрипт запитає:

1	Enter file in which to save the key (/Users/你/.ssh/id_ed25519):

Просто натисни Enter, щоб лишити шлях за замовчуванням. Тут ми використали ./ittinker — це означає, що файл збережеться в поточній теці й називатиметься ittinker.

1	Enter passphrase (empty for no passphrase):

Можеш задати пароль для ключа (це додатковий шар захисту), або просто натиснути Enter, щоб лишити поле порожнім.

Кільки генерація завершиться, у теці ~/.ssh/ ти побачиш два файли (нижче наведено стандартні назви — так вони виглядатимуть, якщо ти просто натискав Enter):

id_ed25519: приватний ключ, нізащо не світити ним!
id_ed25519.pub: публічний ключ, його треба завантажити на сервер

💡 ed25519 vs RSA
ed25519 — це рекомендований алгоритм на сьогодні. Він безпечніший за традиційний RSA, а сам ключ коротший. Якщо твоя система застаріла й не підтримує його, бери ssh-keygen -t rsa -b 4096.

Один нюанс: ключ ed25519 виходить досить компактним, а от файли RSA дуже здорові. Я спитав у ШІ, і виявилося, що розмір тут не при чому — це просто особливість самого алгоритму.

Крок 2: Завантажуємо публічний ключ на сервер

Спосіб А: Через ssh-copy-id (рекомендовано)

1 2	# 在你的电脑上执行 ssh-copy-id -i ~/.ssh/id_ed25519.pub yourname@你的服务器IP

Після вводу пароля публічний ключ автоматично скопіюється на сервер.

Спосіб Б: Копіюємо вручну

Якщо ssh-copy-id не спрацював, можна зробити все вручну:

1 2	# 1. 在你的电脑上，查看公钥内容 cat ~/.ssh/id_ed25519.pub

Скопіюйте виведений текст (це довгий рядок, що починається з ssh-ed25519).

# 2. 在服务器上，为新用户创建 .ssh 目录, ittinker 换成你刚刚创建的用户名
mkdir -p /home/ittinker/.ssh
chmod 700 /home/ittinker/.ssh

# 3. 创建 authorized_keys 文件并粘贴公钥
vim /home/ittinker/.ssh/authorized_keys
# 按 i 进入编辑模式，粘贴公钥，按 Esc，输入 :wq 保存退出

# 4. 设置正确的权限
chmod 600 /home/ittinker/.ssh/authorized_keys
chown -R ittinker:ittinker /home/ittinker/.ssh

⚠️ Права доступу — це дуже важливо!
SSH дуже суворо ставиться до прав доступу на файли:
Каталог .ssh: 700 (доступ лише у самого користувача)
Файл authorized_keys: 600 (читання та запис лише у самого користувача)
Якщо права налаштовані неправильно, SSH просто не дасть увійти за ключем.

Крок 3: Перевіряємо вхід за ключем

Відкрийте нове вікно терміналу (старе не закривайте — якщо щось піде не так, зможете все виправити) і перевірте вхід за ключем:

1	ssh ittinker@你的服务器IP

Якщо зайшло без запиту пароля — вітаю, налаштування ключа пройшло успішно! 🎉

(Якщо ви задали passphrase для приватного ключа, система попросить його ввести — це абсолютно нормально)

Тут ми додали параметр -i, бо цей ключ лежить не за стандартним шляхом, а просто в поточній директорії. Якщо не вказати його явно, система спробує використати ключ за замовчуванням.

3.4 Посилення безпеки SSH

Отже, вхід за ключем уже працює. Тепер давайте трохи “захардкодимо” SSH:

Змінимо стандартний порт (щоб не ловити зайвий шум від сканерів)
Вимкнемо вхід за паролем
Заборонимо прямий логін від імені root

Редагуємо конфіг SSH

# 备份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑配置
nano /etc/ssh/sshd_config

Знайдіть і змініть наступні параметри (деякі з них можуть бути закоментовані — просто приберіть # спереду):

# 修改端口（选一个 1024-65535 之间的数字）
Port 22000

# 禁止 root 登录
PermitRootLogin no

# 允许密钥登录
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 禁止密码登录（确保密钥登录测试成功后再改！）
PasswordAuthentication no

# 使用更安全的 SSH2 协议
Protocol 2

# 最大认证尝试次数
MaxAuthTries 3

# 客户端超时设置
ClientAliveInterval 300
ClientAliveCountMax 2

Зберігайте та виходьте (ctrl + o).

У Nano збереження — це ctrl + o, він запитає ім’я файлу, просто натисніть Enter, а вихід — ctrl + x

Перезапускаємо службу SSH

1	systemctl restart sshd.service

⚠️ Важливе нагадування!
Не закривайте поточний термінал! Спочатку в новому вікні перевірте, чи нормально підключаєтесь із новими налаштуваннями:
1
ssh -p 22000 yourname@你的服务器IP
Якщо вдається увійти, тоді закривайте старе вікно. Якщо не пускає — у старому вікні ще можна полагодити конфіг.

Якщо ви купили легкий сервер, найімовірніше цей порт змінити не вийде, а от традиційний ECS це дозволяє — майте це на увазі.

3.5 Налаштовуємо фаєрвол UFW

UFW (Uncomplicated Firewall) — це стандартний інструмент фаєрвола в Ubuntu: налаштовується просто, але функціонал потужний.

Базове налаштування

# 设置默认策略：拒绝所有入站，允许所有出站
ufw default deny incoming
ufw default allow outgoing

# 允许 SSH（使用你设置的端口）
ufw allow 22000/tcp comment 'SSH'
ufw allow 22/tcp comment 'SSH'  # 如果是轻量服务器，还是开22端口

# 允许 HTTP 和 HTTPS
ufw allow 80/tcp comment 'HTTP'
ufw allow 443/tcp comment 'HTTPS'

Увімкнення фаєрвола

1	ufw enable

Видасть таке повідомлення:

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Введіть y для підтвердження.

Перевірка статусу

1	ufw status verbose

23022 — це я випадково помилився, просто використовуйте свої власні дані

Вивід буде приблизно таким:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22000/tcp (SSH)            ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere
22000/tcp (SSH (v6))       ALLOW IN    Anywhere (v6)
80/tcp (HTTP (v6))         ALLOW IN    Anywhere (v6)
443/tcp (HTTPS (v6))       ALLOW IN    Anywhere (v6)

Швидка шпаргалка з команд

# 查看状态
ufw status

# 添加规则
ufw allow 8080/tcp

# 删除规则
ufw delete allow 8080/tcp

# 允许特定 IP 访问所有端口
ufw allow from 192.168.1.100

# 禁用防火墙（不推荐）
ufw disable

# 重置所有规则
ufw reset

3.6 Вмикаємо прискорення BBR

BBR (Bottleneck Bandwidth and Round-trip propagation time) — це алгоритм контролю перешкод TCP від Google, який може суттєво підвищити продуктивність мережі.

Вмикаємо в один клік

# 添加 BBR 配置
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf

# 使配置生效
sysctl -p

Перевіряємо, чи увімкнулося

1 2	# 查看当前拥塞控制算法 sysctl net.ipv4.tcp_congestion_control

Вивід має бути таким:

1	net.ipv4.tcp_congestion_control = bbr

1 2	# 确认 BBR 模块已加载 lsmod \| grep bbr

Вивід буде приблизно таким:

1	tcp_bbr 20480 3

💡 Який ефект дає BBR
Після увімкнення BBR, особливо за нестабільної мережі або високих затримок, ви чітко відчуєте:
Швидше завантаження файлів
Плавнішу роботу через SSH
Швидше завантаження вебсторінок

3.7 Налаштовуємо fail2ban для захисту від брутфорсу

fail2ban моніторить логи і автоматично блокує IP-адреси, з яких було багато невдалих спроб входу.

Базове налаштування

# 复制默认配置（不要直接修改 jail.conf）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 编辑配置
vim /etc/fail2ban/jail.local

Знайдіть розділ [sshd] і переконайтеся, що там такі налаштування:

[sshd]
enabled = true
port = 22000          # 改成你的 SSH 端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3          # 最大尝试次数
bantime = 3600        # 封禁时间（秒），这里是 1 小时
findtime = 600        # 在这个时间窗口内

Запускаємо сервіс

# 重启 fail2ban
systemctl restart fail2ban

# 设置开机自启
systemctl enable fail2ban

Перевіряємо статус

# 查看 fail2ban 状态
fail2ban-client status

# 查看 SSH 监控状态
fail2ban-client status sshd

Вивід буде приблизно таким:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Корисні команди

# 手动封禁 IP
fail2ban-client set sshd banip 1.2.3.4

# 手动解封 IP
fail2ban-client set sshd unbanip 1.2.3.4

# 查看被封禁的 IP
fail2ban-client status sshd

3.8 [Опціонально] Керування кількома серверами через SSH Config

Якщо у вас кілька серверів, щоразу вводити ssh -p 22000 user@ip — це морока. Можна спростити все за допомогою SSH Config.

Конфігураційний файл

Відредагуйте файл ~/.ssh/config на вашому локальному комп’ютері:

1	vim ~/.ssh/config

Додайте налаштування:

# 第一台服务器
Host vps1
    HostName 192.168.1.100
    User yourname
    Port 22000
    IdentityFile ~/.ssh/id_ed25519

# 第二台服务器
Host vps2
    HostName 192.168.1.101
    User admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

# 通用设置（应用于所有连接）
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes

Як користуватися

Тепер можна підключатися напряму за аліасом:

# 连接第一台服务器
ssh vps1

# 连接第二台服务器
ssh vps2

Більше не треба тримати в голові IP, порти та імена користувачів!

3.9 [Опціонально] Дозвіл доступу лише для Cloudflare

Якщо ваш сайт повністю знаходиться за Cloudflare, можна налаштувати доступ до портів 80/443 лише для IP-адрес Cloudflare — це додатково підвищить безпеку.

⚠️ Важливо: цей конфіг вимагає, щоб ваш домен вже був підключений до Cloudflare CDN.

Скрипт автоматичного налаштування

# 下载脚本
wget -O ~/.cloudflare-ufw.sh https://gist.githubusercontent.com/Xm798/12560579ce11f62027ea8da1fae37456/raw/b07ac8cfe09badf02fc70e2d8bc2da68cabbda50/cloudflare-ufw.sh

# 添加执行权限
chmod +x ~/.cloudflare-ufw.sh

# 执行脚本
~/.cloudflare-ufw.sh

Цей скрипт:

Тягнемо актуальні IP-діапазони прямо з офіційних джерел Cloudflare
Додаємо правила в UFW, щоб пускати на 80/443 лише ці IP
Перезавантажуємо UFW

Налаштовуємо автооновлення

IP-діапазони Cloudflare можуть змінюватися, тому налаштуємо щотижневе автооновлення:

1 2	# 添加 cron 任务（每周一凌晨执行） (crontab -l 2>/dev/null; echo "0 0 * * 1 /root/.cloudflare-ufw.sh > /dev/null 2>&1") \| crontab -

3.10 Виставляємо часовий пояс

За замовчуванням там, ймовірно, UTC — змініть на свій пояс, щоб з логами було менше мороки:

# 查看当前时区
timedatectl

# 设置为上海时区（中国用户）
sudo timedatectl set-timezone Asia/Shanghai

# 验证
date

3.11 [Опціонально] Налаштовуємо автоматичні оновлення безпеки

Дозволяємо системі самій ставити патчі безпеки — не доведеться щоразу робити це вручну:

# 安装自动更新工具
sudo apt install -y unattended-upgrades

# 配置
sudo dpkg-reconfigure --priority=low unattended-upgrades

Вибираємо «Yes», щоб увімкнути автооновлення.

💡 Ця фішка тягає лише оновлення безпеки й не стрибне на новий мажорний реліз, тож досить безпечно.

4. Підбиваємо підсумки

Чекліст після ініціалізації

Коли пройдемося по всьому вище, беремо цей чекліст і перевіряємо:

Перевірка	Команда	Очікуваний результат
Систему оновлено	`apt update && apt list --upgradable`	Немає пакетів для оновлення
Звичайний юзер має sudo	`sudo whoami`	Виведе `root`
Вхід за ключем працює	`ssh yourname@ip -p port`	Вхід без пароля
Вхід за паролем вимкнено	`grep PasswordAuth /etc/ssh/sshd_config`	`PasswordAuthentication no`
SSH-порт змінено	`grep Port /etc/ssh/sshd_config`	Порт, який ти задав
Фаєрвол увімкнено	`ufw status`	`Status: active`
BBR увімкнено	`sysctl net.ipv4.tcp_congestion_control`	`= bbr`
fail2ban працює	`systemctl status fail2ban`	`active (running)`
Часовий пояс налаштовано	`timedatectl`	Asia/Shanghai або твій часовий пояс
Локальний SSH Config	`cat ~/.ssh/config`	Аліас сервера налаштовано

Де лежать ключові файли

/etc/ssh/sshd_config        # SSH 服务端配置
~/.ssh/authorized_keys      # 允许登录的公钥
~/.ssh/config               # 本地 SSH 客户端配置（在你电脑上）
/etc/fail2ban/jail.local    # fail2ban 配置

Найкращі практики безпеки

Регулярно оновлюй систему: apt update && apt upgrade
Періодично перевіряй логи входу: lastb (невдалі входи), last (успішні входи)
Слідкуй за банами у fail2ban
Роби бекап перед тим, як змінювати важливі конфіги

5. Лог помилок і нюансів

Q1: Не пускає за ключем, все одно просить пароль?

Можливі причини:

Проблема з правами доступу (найчастіше)

1
2
3

# 检查并修复权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Публічний ключ скопійовано неправильно

1
2
3

# 检查 authorized_keys 内容
cat ~/.ssh/authorized_keys
# 应该是一行完整的公钥，以 ssh-ed25519 或 ssh-rsa 开头

Втручання SELinux (для систем CentOS/RHEL)
1
restorecon -Rv ~/.ssh

Q2: Після зміни порту не можете підключитися?

Кроки для діагностики:

Переконайтеся, що новий порт відкрито у фаєрволі:
1
ufw status | grep 你的端口
Перевірте, чи правильно налаштовано SSH:
1
grep Port /etc/ssh/sshd_config
Переконайтеся, що служба SSH працює:
1
systemctl status sshd
Якщо підключитися взагалі не виходить, увійдіть через VNC/консоль вашого хостинг-провайдера і виправляйте все там.

Q2.5: Зміна порту взагалі не застосовується? (Для легких хмарних серверів)

Симптом: ви змінили /etc/ssh/sshd_config, але після перезапуску служби 22-й порт все ще активний, а новий порт не працює.

Як діагностувати:

bash

1 2	# 查看是谁在监听 22 端口 netstat -lntp \| grep :22

Якщо вивід виглядає приблизно так:

1	tcp 0 0.0.0.0:22 0.0.0.0:* LISTEN 1/init

Це означає, що 22-й порт прослуховується процесом init (PID 1), а не sshd.

Причина: У деяких хмарних провайдерів SSH для «легких серверів додатків» або «контейнерних інстансів» проксіюється на рівні платформи, тому конфіг всередині вашого сервера (sshd_config) просто не спрацює.

Рішення:

Тип інстансу	Як змінити SSH-порт
Класичний VPS/ECS	Редагуємо `sshd_config` ✅
Легкий сервер	Можливо, треба міняти в панелі хмарного провайдера, або взагалі не підтримується
Контейнерний інстанс	Зазвичай зміна порта не підтримується

Якщо ваш інстанс не дає змінити порт, інші заходи безпеки стають ще важливішими:

✅ Створюємо звичайного користувача + вимикаємо root-логін
✅ Логін за SSH-ключем + вимикаємо вхід за паролем
✅ fail2ban для захисту від брутфорсу

Якщо все це налаштувати, безпека все одно буде на високому рівні.

Q3: fail2ban заблокував мене самого?

# 用 VNC 登录后解封
fail2ban-client set sshd unbanip 你的IP

# 把你的 IP 加入白名单，编辑 jail.local
ignoreip = 127.0.0.1/8 ::1 你的IP

Q4: Після увімкнення UFW сайт перестав відкриватися?

# 检查 80/443 是否开放
ufw status

# 如果没有，添加规则
ufw allow 80/tcp
ufw allow 443/tcp

Q5: При виконанні команди пише, що sudo не знайдено?

У мінімалістичній установці Debian sudo може бути відсутнім. Встановіть його з-під root:

1 2	apt install sudo usermod -aG sudo ittinker

6. Скрипт ініціалізації в один клік (для досвідчених)

Якщо ви вже освоїли всі кроки вище, можете скористатися цим скриптом для швидкої ініціалізації.

⚠️ Важливо: перед тим як запускати скрипт, переконайся, що в тебе вже готовий публічний SSH-ключ.

#!/bin/bash
# VPS 初始化脚本
# 使用方法：以 root 身份运行

set -e

# === 配置区域（根据你的需求修改）===
NEW_USER="ittinker"           # 新用户名
NEW_SSH_PORT="22000"          # 新 SSH 端口
TIMEZONE="Asia/Shanghai"      # 时区
# =====================================

echo "=== VPS 初始化脚本 ==="
echo ""

# 1. 更新系统
echo "[1/8] 更新系统..."
apt update && apt upgrade -y

# 2. 安装基础工具
echo "[2/8] 安装基础工具..."
apt install -y sudo curl wget git vim htop tree unzip net-tools ufw fail2ban neofetch

# 3. 创建新用户
echo "[3/8] 创建用户 $NEW_USER..."
if id "$NEW_USER" &>/dev/null; then
    echo "用户已存在，跳过创建"
else
    adduser --gecos "" $NEW_USER
    usermod -aG sudo $NEW_USER
fi

# 4. 配置 SSH 目录
echo "[4/8] 配置 SSH 目录..."
mkdir -p /home/$NEW_USER/.ssh
chmod 700 /home/$NEW_USER/.ssh
touch /home/$NEW_USER/.ssh/authorized_keys
chmod 600 /home/$NEW_USER/.ssh/authorized_keys
chown -R $NEW_USER:$NEW_USER /home/$NEW_USER/.ssh

echo ""
echo ">>> 请将你的公钥粘贴到下面（粘贴后按 Ctrl+D 结束）："
cat >> /home/$NEW_USER/.ssh/authorized_keys
echo ""

# 5. 修改 SSH 配置
echo "[5/8] 修改 SSH 配置..."
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "s/^#*Port .*/Port $NEW_SSH_PORT/" /etc/ssh/sshd_config
sed -i "s/^#*PermitRootLogin .*/PermitRootLogin no/" /etc/ssh/sshd_config
sed -i "s/^#*PasswordAuthentication .*/PasswordAuthentication no/" /etc/ssh/sshd_config
sed -i "s/^#*PermitEmptyPasswords .*/PermitEmptyPasswords no/" /etc/ssh/sshd_config

# 6. 配置防火墙
echo "[6/8] 配置防火墙..."
ufw default deny incoming
ufw default allow outgoing
ufw allow $NEW_SSH_PORT/tcp
ufw allow 80/tcp
ufw allow 443/tcp
echo "y" | ufw enable

# 7. 开启 BBR
echo "[7/8] 开启 BBR..."
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 8. 设置时区
echo "[8/8] 设置时区..."
timedatectl set-timezone $TIMEZONE

# 重启 SSH
systemctl restart sshd

echo ""
echo "=========================================="
echo "  ✅ 初始化完成！"
echo "=========================================="
echo ""
echo "  新 SSH 端口: $NEW_SSH_PORT"
echo "  新用户: $NEW_USER"
echo "  时区: $TIMEZONE"
echo ""
echo "  请使用以下命令登录："
echo "    ssh -p $NEW_SSH_PORT $NEW_USER@$(curl -s ifconfig.me 2>/dev/null || echo '你的IP')"
echo ""
echo "  ⚠️ 重要：请先测试新配置能否登录，再关闭当前终端！"
echo ""

7. Гаразд, наскільки реально підвищилась безпека після всього цього?

Крок	Що робили	Чому це важливо
Оновлення системи	Встановили свіжі патчі	Закриває відомі вразливості
Створення нового юзера	Відмовились логінитись root-ом напряму	Зменшує ризик випадкових помилок
SSH-ключі	Замінили паролі на ключі	Неможливо збрутфорсити
Зміна порту	Відійшли від дефолтного 22	Менше шансів, що вас знайдуть сканери
Вимкнення пароля	Логін лише за ключами	Повністю прибирає атаки на паролі
Вимкнення root	root не може логінитись напряму	Ускладнює життя зловмисникам
Фаєрвол UFW	Відкрили лише потрібні порти	Зменшує поверхню атаки
Прискорення BBR	Оптимізували мережеву продуктивність	Робить доступ швидшим
fail2ban	Автоматично банить підозрілі IP	Захищає від постійних атак

Після всього цього твій сервер уже обганяє за безпекою 90% VPS.

Анонс наступної статті

У наступній статті ми розберемо швидку довідку з налаштування входу по SSH-ключах, і там ми детальніше зупинимось на:

Як генерувати ключі на різних ОС
Менеджмент кількох ключів
Налаштування SSH Agent
Типові налаштування популярних SSH-клієнтів

Ця стаття востаннє оновлювалась: січень 2026 року

Серія «Набір інструментів інді-розробника», стежте за оновленнями!