Tutoriales de VPS
Guía de endurecimiento de seguridad para VPS: lo primero que debes hacer al recibir un servidor (SSH + firewall + Fail2Ban)
No te apresures a instalar un panel cuando recibas un VPS nuevo. Este artículo comparte un proceso estándar de endurecimiento de seguridad en 4 pasos: cambiar el puerto SSH, configurar el inicio de sesión con clave, activar el firewall UFW e instalar Fail2Ban. En solo 15 minutos, mantén tu servidor a salvo de ataques de fuerza bruta y del riesgo de convertirse en un equipo zombi.
Muchas personas, lo primero que hacen al recibir un VPS, es instalar el panel BaoTa o Docker y luego ponerse a ejecutar servicios con impaciencia.
¡Alto! No tan rápido.
¿Sabes lo peligroso que es dejar tu VPS expuesto en la internet pública? Una vez, en una máquina recién comprada, revisé los registros y descubrí cientos de intentos de fuerza bruta por SSH en 10 minutos. Si tu contraseña es un poco simple (como 123456 o root), puede que ya te hayan escaneado y convertido en un "equipo zombi" para minar criptomonedas.
Como usuario veterano, en los primeros 15 minutos tras recibir un VPS nuevo, hago una sola cosa sin falta: endurecimiento de seguridad.
Hoy comparto el procedimiento operativo estándar (SOP) que he usado durante 5 años. Solo 4 pasos para dejar tu servidor sólido como una roca.
El puerto SSH predeterminado es el 22, y los scripts de los hackers escanean este puerto las 24 horas.
Enfoque recomendado: usar inicio de sesión con clave y deshabilitar la autenticación por contraseña.
- Generar un par de claves (si aún no tienes uno):
Abre una terminal en tu computadora (PowerShell o CMD):
ssh-keygen -t rsa -b 4096 - Subir la clave pública al VPS:
# 替换成你的 IP ssh-copy-id [email protected] - Editar el archivo de configuración de sshd:
Inicia sesión en el VPS y edita
/etc/ssh/sshd_config:
Busca y modifica los siguientes elementos:vi /etc/ssh/sshd_configPort 2222 # 改个非标准端口，比如 2222 PermitRootLogin prohibit-password # 禁止 root 用密码登录（只准用密钥） PasswordAuthentication no # 彻底关闭密码认证 - Reiniciar el servicio:
Nota: ¡no cierres la sesión justo después de hacer los cambios! Abre una nueva ventana de terminal y prueba si puedes conectarte, para no quedarte fuera.systemctl restart sshd
El iptables integrado de Linux es potente pero difícil de usar. Recomiendo UFW (Uncomplicated Firewall).
Instalación en Debian/Ubuntu:
apt update && apt install ufw -y
Configurar las reglas (¡el orden importa!):
# 1. 默认拒绝所有进入连接
ufw default deny incoming
# 2. 允许所有出去的连接
ufw default allow outgoing
# 3. 放行刚才修改的 SSH 端口 (比如 2222)
ufw allow 2222/tcp
# 4. 放行 Web 服务端口 (如果你做网站的话)
ufw allow 80/tcp
ufw allow 443/tcp
# 5. 启动防火墙
ufw enable
Fail2Ban es una gran herramienta. Monitorea los registros y, cuando detecta que alguien intenta contraseñas repetidamente, bloquea directamente su IP.
Instalación:
apt install fail2ban -y
Su configuración predeterminada funciona de inmediato y protege SSH. Puedes ajustarla en /etc/fail2ban/jail.local, por ejemplo cambiando "5 contraseñas incorrectas" a "3 veces" para bloquear la IP.
Después de instalarlo, revisa con fail2ban-client status sshd. En unos días verás que puede haber bastantes IP en la lista "Current Banned", todas ellas entregándose solas.
Las vulnerabilidades dan más miedo que los hackers. Para evitar olvidar actualizar el sistema, podemos activar las actualizaciones de seguridad automáticas.
Para Debian/Ubuntu:
apt install unattended-upgrades -y
dpkg-reconfigure --priority=low unattended-upgrades
Selecciona "Yes" y listo. Instalará automáticamente los parches de seguridad, sin que tengas que preocuparte.
Después de completar estos 4 pasos:
- Inicio de sesión con clave + puerto cambiado -> el 99% de los scripts de escaneo dejan de funcionar.
- Firewall UFW -> cierra las puertas innecesarias.
- Fail2Ban -> bloquea automáticamente las IP maliciosas.
- Actualizaciones automáticas -> parchea las vulnerabilidades a tiempo.
Mientras tu clave privada no se filtre, este VPS es básicamente una fortaleza de hierro. La seguridad nunca es absoluta, pero al menos no seas "el caqui más blando de exprimir".