Comience con acceso verificado y una ruta de recuperación y, después, configure la administración individual, claves SSH probadas, un cortafuegos restrictivo, software mantenido y copias de seguridad independientes. Aplique los cambios de forma incremental y verifique una sesión nueva antes de cerrar la anterior.
Establezca un punto de partida de confianza
Antes de cambiar la máquina, confirme el sistema operativo previsto, el método de acceso y la ruta de recuperación. Verifique la identidad del host SSH a través de la información aprobada por el operador en lugar de aceptar una clave inesperada sin investigarla. Mantenga privadas las credenciales temporales y sustitúyalas mediante el proceso previsto. Registre qué persona es responsable del mantenimiento y qué opciones de recuperación están realmente disponibles para este servicio.
Mantenga abierta una sesión de administración funcional mientras realiza cambios de acceso. Una receta de endurecimiento copiada puede eliminar el único inicio de sesión utilizable cuando presupone una distribución o una disposición de cuentas diferentes. Aplique un cambio a la vez, compruebe su resultado efectivo y conserve una ruta de vuelta. El objetivo es un sistema que pueda mantener de forma segura, no una configuración que parezca estricta pero no pueda administrarse.
Haga deliberado el acceso a SSH
Cree acceso administrativo individual con el privilegio adecuado en lugar de compartir un único inicio de sesión root permanente. Instale y pruebe la clave pública prevista, manteniendo la clave privada en el endpoint autorizado. La documentación de Ubuntu OpenSSH explica la configuración del servidor y las opciones de autenticación. Lea la configuración efectiva de su distribución, incluidos los archivos incluidos, antes de asumir que editar una sola opción ha cambiado todo el servicio.
Pruebe el acceso por clave a través de una segunda sesión antes de cambiar la autenticación por contraseña o las reglas de inicio de sesión privilegiado. Asegúrese de que la nueva cuenta pueda realizar la administración que necesita. Revise cualquier automatización que dependa del método anterior y reemplace su acceso de forma deliberada. Una clave es una credencial de acceso, así que use una ubicación de almacenamiento privada y un proceso de rotación en lugar de dejar copias dentro de los directorios de la aplicación.
Exponga la aplicación, no toda la máquina
Inventaríe los servicios en escucha e identifique cuáles deben ser públicos. Una aplicación web puede necesitar HTTP y HTTPS, mientras que su base de datos puede permanecer accesible solo a través de la ruta interna prevista. Ubuntu documenta UFW como herramienta de configuración de firewall, pero la política útil es independiente de la herramienta: permita el tráfico requerido y restrinja la administración a las fuentes aprobadas cuando sea práctico.
Compruebe los controles tanto a nivel de host como de proveedor si el servicio los incluye. Antes de habilitar un conjunto de reglas restrictivas, permita la ruta de administración probada y verifique el acceso desde otra sesión. No asuma que mover SSH a un puerto diferente reemplaza la autenticación o el parcheo. Mantenga las reglas de firewall comprensibles para que la resolución de problemas futura no lleve a abrir todos los puertos como solución alternativa.
| Cambio | Comprobar antes de aplicar | Comprobar después |
|---|---|---|
| Nueva clave SSH | Cuenta y clave pública correctas | La segunda sesión autenticada por clave funciona |
| Firewall restringido | Rutas de servicio y recuperación requeridas | La aplicación pública funciona; los puertos no previstos están cerrados |
| Actualización de software | Implicaciones de copia de seguridad y reinicio | Los servicios se reinician y las pruebas de la aplicación pasan |
| Cambio de permisos del servicio | Rutas de lectura y escritura requeridas | La aplicación funciona sin un acceso más amplio al sistema |
Planifique las actualizaciones como un proceso operativo
Mantenga el sistema y las dependencias de la aplicación actualizados. La guía de actualizaciones automáticas de Ubuntu describe las actualizaciones desatendidas, los orígenes permitidos y el comportamiento de reinicio. Un repositorio de terceros no queda cubierto automáticamente solo porque se haya añadido a la máquina. Revise qué incluye realmente el proceso de actualización configurado y dé a las aplicaciones instaladas por separado su propia ruta de mantenimiento.
Decida cómo se gestionarán los reinicios de servicios y los reinicios del sistema. Aplicar una actualización de paquete no siempre significa que todos los procesos en ejecución estén usando el nuevo código. Use una ventana de mantenimiento cuando la carga de trabajo lo requiera y realice una comprobación sencilla de la aplicación después. Si un paquete necesita pasos de migración manuales, documéntelos en lugar de deshabilitar todas las actualizaciones indefinidamente y olvidar la exposición resultante.
Restrinja el acceso a la aplicación y proteja la recuperación
Ejecute los servicios con los permisos que necesitan y separe el contenido público de los secretos y los metadatos de despliegue. Un proceso web no debería poder reescribir cada configuración del sistema. Mantenga los secretos de entorno fuera de los directorios servidos públicamente y evite incluirlos en registros, exportaciones de soporte o copias de seguridad generales sin una política de protección intencionada. Elimine los paquetes y servicios no utilizados cuando no tengan ningún propósito operativo.
Mantenga una copia de seguridad independiente y pruebe la restauración de la aplicación en un entorno aislado. Restrinja las credenciales de copia de seguridad para que una aplicación comprometida no pueda eliminar automáticamente todas las copias de recuperación. Supervise la capacidad del disco, la antigüedad de las copias de seguridad y los fallos de servicio. El registro debe responder a preguntas operativas definidas, con acceso y retención controlados; no debe convertirse en una copia ilimitada de solicitudes sensibles.
Una secuencia de primer despliegue que se mantiene revisable
Para un nuevo VPS, primero verifique el acceso y la recuperación, luego establezca la cuenta administrativa y la clave probada. Configure el firewall, aplique las actualizaciones y despliegue la aplicación bajo su cuenta de servicio prevista. Confirme el comportamiento público desde otro entorno, compruebe que los archivos privados no se puedan recuperar y realice una restauración de copia de seguridad. Mantenga notas sobre cada decisión y la ruta para revertir un cambio de acceso.
Vector VPS, Pulse NVMe y determinados planes dedicados presentan opciones de Linux en el catálogo de SwissOctet. Confirme la imagen elegida y el reparto del trabajo de mantenimiento antes de realizar el pedido. Ningún nombre de imagen de Linux demuestra que el endurecimiento, las actualizaciones o las copias de seguridad ya estén gestionados. La línea base es el conjunto de controles que usted configura, verifica y sigue manteniendo a medida que el proyecto cambia.
Su lista de verificación práctica.
- Verifique la identidad del host SSH y la ruta de recuperación.
- Pruebe el acceso individual por clave en una segunda sesión.
- Restrinja los servicios en escucha y las reglas de firewall.
- Revise la cobertura de actualizaciones y el comportamiento de reinicio.
- Separe los secretos de los archivos públicos y los permisos de servicio.
- Pruebe una copia de recuperación independiente.
Los detalles que importan.
¿Debo deshabilitar el inicio de sesión por contraseña de inmediato?+
Primero establezca y pruebe el acceso por clave de reemplazo y la ruta de recuperación. Después cambie la autenticación según su configuración compatible.
¿Un cambio de puerto de SSH reemplaza el endurecimiento?+
No. No reemplaza la autenticación fuerte, el acceso restringido, las actualizaciones ni el privilegio de cuenta adecuado.
¿Bastan las actualizaciones automáticas para todas las aplicaciones?+
No. Compruebe los repositorios permitidos, los requisitos de reinicio y el software instalado fuera del proceso de actualización del sistema.
Vaya a la fuente.
Estas referencias respaldan los conceptos técnicos de esta guía. Consulte la documentación actual antes de cambiar un sistema de producción.
- Servidor Ubuntu: servidor OpenSSH ubuntu.com
- Servidor Ubuntu: firewalls ubuntu.com
- Servidor Ubuntu: actualizaciones automáticas ubuntu.com
Orientación editorial de SwissOctet. Los ejemplos son ilustrativos. Las especificaciones del servicio, las opciones disponibles y las condiciones contractuales deben verificarse por separado.