Begin met geverifieerde toegang en een herstelroute, configureer daarna individueel beheer, geteste SSH-sleutels, een beperkende firewall, onderhouden software en onafhankelijke back-ups. Voer wijzigingen stapsgewijs door en verifieer een nieuwe sessie voordat u de oude sluit.
Stel een vertrouwd uitgangspunt vast
Controleer voordat u de machine wijzigt het verwachte besturingssysteem, de toegangsmethode en de herstelroute. Verifieer de SSH-hostidentiteit via de goedgekeurde informatie van de operator in plaats van een onverwachte sleutel zonder onderzoek te accepteren. Houd tijdelijke inloggegevens privé en vervang ze via het bedoelde proces. Leg vast wie verantwoordelijk is voor onderhoud en welke herstelopties daadwerkelijk beschikbaar zijn voor deze service.
Houd een werkende beheersessie open terwijl u toegangswijzigingen doorvoert. Een gekopieerd hardeningrecept kan de enige bruikbare login verwijderen wanneer het uitgaat van een andere distributie of accountindeling. Voer één wijziging tegelijk door, controleer het effectieve resultaat en behoud een weg terug. Het doel is een systeem dat u veilig kunt onderhouden, niet een configuratie die streng lijkt maar niet te beheren is.
Maak SSH-toegang bewust
Creëer individuele beheerderstoegang met passende privileges in plaats van één permanent root-login te delen. Installeer en test de bedoelde publieke sleutel en houd de privésleutel op het geautoriseerde endpoint. De Ubuntu OpenSSH-documentatie legt serverconfiguratie en authenticatiekeuzes uit. Lees de effectieve configuratie voor uw distributie, inclusief inbegrepen bestanden, voordat u aanneemt dat het wijzigen van één instelling de hele service heeft veranderd.
Test sleuteltoegang via een tweede sessie voordat u wachtwoordauthenticatie of regels voor bevoorrechte login wijzigt. Zorg dat het nieuwe account het benodigde beheer kan uitvoeren. Controleer automatisering die afhankelijk is van de vorige methode en vervang de toegang ervan bewust. Een sleutel is een toegangsmiddel, dus gebruik een privéopslaglocatie en een rotatieproces in plaats van kopieën in applicatiemappen achter te laten.
Stel de applicatie beschikbaar, niet de hele machine
Inventariseer de luisterende services en bepaal welke openbaar moeten zijn. Een webapplicatie heeft mogelijk HTTP en HTTPS nodig, terwijl de database alleen via het bedoelde interne pad bereikbaar kan blijven. Ubuntu documenteert UFW als firewallconfiguratietool, maar het nuttige beleid is onafhankelijk van de tool: sta het vereiste verkeer toe en beperk beheer waar praktisch tot de goedgekeurde bronnen.
Controleer zowel hostniveau- als providerniveau-instellingen als de service deze bevat. Sta voordat u een beperkende regelset inschakelt het geteste beheerpad toe en verifieer toegang vanuit een andere sessie. Ga er niet van uit dat het verplaatsen van SSH naar een andere poort authenticatie of patching vervangt. Houd firewallregels begrijpelijk, zodat toekomstige probleemoplossing niet leidt tot het openen van elke poort als workaround.
| Wijziging | Controleer vóór toepassing | Controleer achteraf |
|---|---|---|
| Nieuwe SSH-sleutel | Correct account en publieke sleutel | Tweede sessie met sleutelauthenticatie werkt |
| Beperkende firewall | Vereiste service- en herstelpaden | Openbare app werkt; onbedoelde poorten zijn gesloten |
| Software-update | Gevolgen voor back-up en herstart | Services herstarten en applicatietests slagen |
| Wijziging servicerechten | Vereiste lees- en schrijfpaden | App werkt zonder bredere systeemtoegang |
Plan updates als een operationeel proces
Houd het systeem en applicatie-afhankelijkheden onderhouden. De automatische-updatebegeleiding van Ubuntu beschrijft unattended upgrades, toegestane origins en herstartgedrag. Een externe repository valt niet automatisch onder dekking alleen omdat deze aan de machine is toegevoegd. Controleer wat het geconfigureerde updateproces daadwerkelijk omvat en geef afzonderlijk geïnstalleerde applicaties hun eigen onderhoudspad.
Bepaal hoe serviceherstarten en reboots worden afgehandeld. Het toepassen van een pakketupdate betekent niet altijd dat elk draaiend proces de nieuwe code gebruikt. Gebruik een onderhoudsvenster waar de workload dat vereist en voer daarna een eenvoudige applicatiecontrole uit. Als een pakket handmatige migratiestappen vereist, documenteer deze dan in plaats van alle updates voor onbepaalde tijd uit te schakelen en de resulterende blootstelling te vergeten.
Beperk applicatietoegang en bescherm herstel
Draai services met de rechten die ze nodig hebben en scheid openbare inhoud van secrets en deploymentmetadata. Een webproces zou niet elke systeeminstelling moeten kunnen herschrijven. Houd omgevingssecrets buiten openbaar geserveerde mappen en vermijd opname ervan in logs, supportexports of algemene back-ups zonder bewust beschermingsbeleid. Verwijder ongebruikte pakketten en services wanneer ze geen operationeel doel hebben.
Onderhoud een onafhankelijke back-up en test het herstellen van de applicatie in een geïsoleerde omgeving. Beperk back-upreferenties zodat een gecompromitteerde applicatie niet automatisch elke herstelkopie kan verwijderen. Monitor schijfcapaciteit, back-upleeftijd en servicestoringen. Logging moet gedefinieerde operationele vragen beantwoorden, met gecontroleerde toegang en retentie; het mag geen onbeperkte kopie van gevoelige verzoeken worden.
Een eerste-implementatiereeks die beoordeelbaar blijft
Verifieer voor een nieuwe VPS eerst toegang en herstel en stel daarna het beheerdersaccount en de geteste sleutel in. Configureer de firewall, pas updates toe en implementeer de applicatie onder het bedoelde serviceaccount. Bevestig openbaar gedrag vanuit een andere omgeving, controleer dat privébestanden niet kunnen worden opgehaald en voer een back-upherstel uit. Houd notities bij over elke beslissing en het pad om een toegangswijziging terug te draaien.
Vector VPS, Pulse NVMe en geselecteerde dedicated plannen bieden Linux-keuzes in de SwissOctet-catalogus. Bevestig de gekozen image en de verdeling van onderhoudswerk voordat u bestelt. Geen enkele Linux-imagenaam bewijst dat hardening, updates of back-ups al worden beheerd. De basis is de set controles die u configureert, verifieert en blijft onderhouden naarmate het project verandert.
Uw praktische checklist.
- Verifieer de SSH-hostidentiteit en herstelroute.
- Test individuele sleuteltoegang in een tweede sessie.
- Beperk luisterende services en firewallregels.
- Controleer updatedekking en herstartgedrag.
- Scheid secrets van openbare bestanden en servicerechten.
- Test een onafhankelijke herstelkopie.
De details die ertoe doen.
Moet ik wachtwoordlogin onmiddellijk uitschakelen?+
Stel eerst de vervangende sleuteltoegang en herstelroute in en test deze. Wijzig daarna de authenticatie volgens uw ondersteunde configuratie.
Vervangt een SSH-poortwijziging hardening?+
Nee. Het vervangt geen sterke authenticatie, beperkte toegang, updates of passende accountprivileges.
Zijn automatische updates voldoende voor elke applicatie?+
Nee. Controleer toegestane repositories, herstartvereisten en software die buiten het updateproces van het systeem is geïnstalleerd.
Ga naar de bron.
Deze referenties ondersteunen de technische concepten in deze gids. Volg de actuele documentatie voordat u een productiesysteem wijzigt.
- Ubuntu Server: OpenSSH-server ubuntu.com
- Ubuntu Server: Firewalls ubuntu.com
- Ubuntu Server: Automatische updates ubuntu.com
Redactionele begeleiding door SwissOctet. Voorbeelden zijn illustratief. Dienstspecificaties, beschikbare opties en contractuele voorwaarden moeten afzonderlijk worden geverifieerd.