Tutoriais de VPS
Guia de segurança para VPS: a primeira coisa a fazer ao receber um servidor (SSH + firewall + Fail2Ban)
Não tenha pressa para instalar um painel quando receber um VPS novo. Este artigo compartilha um processo padrão de segurança em 4 etapas: alterar a porta SSH, configurar login por chave, ativar o firewall UFW e instalar o Fail2Ban. Em apenas 15 minutos, mantenha seu servidor longe de ataques de força bruta e do risco de virar um zumbi de botnet.
Muitas pessoas, a primeira coisa que fazem ao receber um VPS, é instalar o painel BaoTa ou o Docker e depois sair correndo para rodar serviços.
Pare! Não tão rápido.
Você sabe o quão perigoso é deixar seu VPS exposto na internet pública? Certa vez, em uma máquina recém-comprada, verifiquei os logs e encontrei centenas de tentativas de força bruta por SSH em 10 minutos. Se sua senha for um pouco simples (como 123456 ou root), pode ser que já tenham te escaneado e transformado em um "zumbi" para minerar criptomoedas.
Como usuário experiente, nos primeiros 15 minutos após receber um VPS novo, faço uma única coisa sem falhar: reforço de segurança.
Hoje compartilho o procedimento operacional padrão (SOP) que uso há 5 anos. Apenas 4 etapas para deixar seu servidor sólido como uma rocha.
A porta SSH padrão é a 22, e os scripts dos hackers escaneiam essa porta 24 horas por dia.
Abordagem recomendada: usar login por chave e desativar a autenticação por senha.
- Gerar um par de chaves (se você ainda não tiver):
Abra um terminal no seu computador (PowerShell ou CMD):
ssh-keygen -t rsa -b 4096 - Enviar a chave pública para o VPS:
# 替换成你的 IP ssh-copy-id [email protected] - Editar o arquivo de configuração do sshd:
Faça login no VPS e edite
/etc/ssh/sshd_config:
Encontre e modifique os seguintes itens:vi /etc/ssh/sshd_configPort 2222 # 改个非标准端口，比如 2222 PermitRootLogin prohibit-password # 禁止 root 用密码登录（只准用密钥） PasswordAuthentication no # 彻底关闭密码认证 - Reiniciar o serviço:
Atenção: não saia logo após fazer as alterações! Abra uma nova janela de terminal e teste se consegue conectar, para não ficar trancado do lado de fora.systemctl restart sshd
O iptables nativo do Linux é poderoso, mas difícil de usar. Recomendo o UFW (Uncomplicated Firewall).
Instalação no Debian/Ubuntu:
apt update && apt install ufw -y
Definir as regras (a ordem importa!):
# 1. 默认拒绝所有进入连接
ufw default deny incoming
# 2. 允许所有出去的连接
ufw default allow outgoing
# 3. 放行刚才修改的 SSH 端口 (比如 2222)
ufw allow 2222/tcp
# 4. 放行 Web 服务端口 (如果你做网站的话)
ufw allow 80/tcp
ufw allow 443/tcp
# 5. 启动防火墙
ufw enable
O Fail2Ban é uma ferramenta excelente. Ele monitora os logs e, quando detecta que alguém está tentando senhas repetidamente, bloqueia diretamente o IP.
Instalação:
apt install fail2ban -y
A configuração padrão já funciona de imediato e protege o SSH. Você pode ajustá-la em /etc/fail2ban/jail.local, por exemplo mudando "5 senhas erradas" para "3 vezes" para bloquear o IP.
Após instalar, verifique com fail2ban-client status sshd. Em alguns dias você verá que pode haver vários IPs na lista "Current Banned", todos se entregando de bandeja.
Vulnerabilidades são mais assustadoras que hackers. Para evitar esquecer de atualizar o sistema, podemos ativar as atualizações de segurança automáticas.
Para Debian/Ubuntu:
apt install unattended-upgrades -y
dpkg-reconfigure --priority=low unattended-upgrades
Selecione "Yes" e pronto. Ele instalará automaticamente os patches de segurança, sem você precisar se preocupar.
Depois de concluir estas 4 etapas:
- Login por chave + porta alterada -> 99% dos scripts de varredura deixam de funcionar.
- Firewall UFW -> feche as portas desnecessárias.
- Fail2Ban -> bloqueia automaticamente IPs maliciosos.
- Atualizações automáticas -> corrija vulnerabilidades a tempo.
Desde que sua chave privada não vaze, este VPS é basicamente uma fortaleza de ferro. A segurança nunca é absoluta, mas pelo menos não seja "o caqui mais mole de espremer".