Torna al blog
Un server con un indirizzo IP pubblico inizia a ricevere tentativi di accesso pochi minuti dopo essere stato acceso. Non è niente di personale: ci sono bot che scansionano internet senza sosta, alla ricerca di password deboli e software non aggiornato. La sicurezza del sistema operativo e di quello che ci gira sopra è nelle tue mani, quindi conviene farla subito, prima di installare qualsiasi altra cosa.
Tieni a portata di mano la console VNC del pannello: funziona anche se ti chiudi fuori da SSH, quindi puoi sempre rimediare a un errore.
1. Aggiorna il sistema
apt update && apt full-upgrade -y # Debian / Ubuntu
dnf upgrade -y # AlmaLinux / Rocky / Fedora
Poi attiva gli aggiornamenti di sicurezza automatici: unattended-upgrades su Debian e Ubuntu, dnf-automatic sulla famiglia RHEL.
2. Crea un utente normale
Lavorare sempre come root vuol dire che un singolo errore, o un singolo programma compromesso, ha accesso a tutto.
adduser alice
usermod -aG sudo alice # 'wheel' al posto di 'sudo' sulle distro RHEL
3. Passa alle chiavi SSH
Dal tuo computer copia la chiave pubblica sul server con ssh-copy-id alice@<IP> e verifica di riuscire ad accedere senza password. Se salvi le chiavi nel profilo del pannello, puoi aggiungerle già quando installi o reinstalli il server.
4. Spegni password e login di root
Solo dopo aver verificato che l'accesso con la chiave funziona, in /etc/ssh/sshd_config:
PasswordAuthentication no
PermitRootLogin no
Riavvia SSH e prova un nuovo accesso in una seconda finestra, prima di chiudere quella aperta.
5. Attiva un firewall
Apri solo le porte che usi davvero, SSH per prima:
ufw allow OpenSSH
ufw allow 80,443/tcp
ufw enable
Sui server che lo prevedono, la scheda Firewall del pannello filtra il traffico ancora prima che arrivi al server.
6. Blocca i tentativi ripetuti
fail2ban banna gli indirizzi che sbagliano il login troppe volte:
apt install fail2ban
systemctl enable --now fail2ban
E poi: account e backup
Chi controlla il tuo account controlla i tuoi server: attiva l'autenticazione a due fattori anche sull'area clienti. E tieni backup regolari fuori dal server, così anche nel caso peggiore riparti da una copia pulita.
Sono dieci minuti di lavoro che ti risparmiano la maggior parte dei problemi. Nelle guide del pannello trovi la versione passo passo, anche per Windows Server.
