Börja med verifierad åtkomst och en återställningsväg, konfigurera sedan individuell administration, testade SSH-nycklar, en restriktiv brandvägg, underhållen programvara och oberoende säkerhetskopior. Tillämpa ändringar stegvis och verifiera en ny session innan du stänger den gamla.
Upprätta en betrodd startpunkt
Innan du ändrar maskinen, bekräfta det förväntade operativsystemet, åtkomstmetoden och återställningsvägen. Verifiera SSH-värdidentiteten genom operatörens godkända information istället för att acceptera en oväntad nyckel utan undersökning. Håll tillfälliga autentiseringsuppgifter privata och ersätt dem genom den avsedda processen. Registrera vilken person som ansvarar för underhåll och vilka återställningsalternativ som faktiskt är tillgängliga för denna tjänst.
Håll en fungerande administrationssession öppen medan du gör åtkomständringar. Ett kopierat härdningsrecept kan ta bort den enda användbara inloggningen när det antar en annan distribution eller kontolayout. Gör en ändring i taget, kontrollera dess faktiska resultat och bevara en väg tillbaka. Målet är ett system du kan underhålla säkert, inte en konfiguration som ser strikt ut men inte kan administreras.
Gör SSH-åtkomst avsiktlig
Skapa individuell administrativ åtkomst med lämplig behörighet i stället för att dela en permanent root-inloggning. Installera och testa den avsedda publika nyckeln och behåll den privata nyckeln på den auktoriserade slutpunkten. Ubuntu OpenSSH-dokumentation beskriver serverkonfiguration och val av autentisering. Läs den effektiva konfigurationen för din distribution, inklusive inkluderade filer, innan du antar att en ändrad inställning har ändrat hela tjänsten.
Testa nyckelåtkomst via en andra session innan du ändrar lösenordsautentisering eller regler för privilegierad inloggning. Säkerställ att det nya kontot kan utföra den administration det behöver. Granska all automatisering som är beroende av den tidigare metoden och ersätt dess åtkomst avsiktligt. En nyckel är en åtkomstuppgift, så använd en privat lagringsplats och en rotationsprocess i stället för att lämna kopior i programkataloger.
Exponera applikationen, inte hela maskinen
Inventera de lyssnande tjänsterna och identifiera vilka som måste vara offentliga. En webbapplikation kan behöva HTTP och HTTPS, medan dess databas kan förbli nåbar endast via den avsedda interna vägen. Ubuntu dokumenterar UFW som ett verktyg för brandväggskonfiguration, men den användbara policyn är oberoende av verktyget: tillåt den nödvändiga trafiken och begränsa administrationen till de godkända källorna där det är praktiskt möjligt.
Kontrollera både värdnivå- och leverantörsnivåkontroller om tjänsten innehåller dem. Innan du aktiverar en restriktiv regeluppsättning, tillåt den testade administrationsvägen och verifiera åtkomst från en annan session. Anta inte att flytta SSH till en annan port ersätter autentisering eller patchning. Håll brandväggsregler begripliga så att framtida felsökning inte leder till att öppna varje port som en arbetsmetod.
| Ändra | Kontrollera före tillämpning | Kontrollera efteråt |
|---|---|---|
| Ny SSH-nyckel | Korrekt konto och publik nyckel | Andra nyckelautentiserade sessionen fungerar |
| Begränsad brandvägg | Nödvändiga tjänste- och återställningsvägar | Offentlig app fungerar; oavsiktliga portar är stängda |
| Programuppdatering | Konsekvenser för säkerhetskopiering och omstart | Tjänster startar om och applikationstester godkänns |
| Ändring av tjänstebehörighet | Nödvändiga läs- och skrivvägar | App fungerar utan bredare systemåtkomst |
Planera uppdateringar som en driftprocess
Håll systemet och applikationsberoendena underhållna. Ubuntu:s vägledning för automatiska uppdateringar beskriver obevakade uppgraderingar, tillåtna ursprung och omstartsbeteende. Ett tredjepartsförråd täcks inte automatiskt bara för att det har lagts till på maskinen. Granska vad den konfigurerade uppdateringsprocessen faktiskt innehåller och ge separat installerade applikationer sin egen underhållsväg.
Bestäm hur omstarter av tjänster och omstart av systemet ska hanteras. Att tillämpa en paketuppdatering innebär inte alltid att varje körande process använder den nya koden. Använd ett underhållsfönster där arbetsbelastningen kräver det och utför en enkel applikationskontroll efteråt. Om ett paket behöver manuella migreringssteg, dokumentera dem i stället för att inaktivera alla uppdateringar på obestämd tid och glömma den resulterande exponeringen.
Begränsa applikationsåtkomst och skydda återställning
Kör tjänster med de behörigheter de behöver och separera offentligt innehåll från hemligheter och distributionsmetadata. En webbprocess bör inte kunna skriva om varje systeminställning. Håll miljöhemligheter utanför offentligt betjänade kataloger och undvik att inkludera dem i loggar, supportexporter eller allmänna säkerhetskopior utan en avsiktlig skyddspolicy. Ta bort oanvända paket och tjänster när de inte har något driftssyfte.
Upprätthåll en oberoende säkerhetskopia och testa att återställa applikationen i en isolerad miljö. Begränsa säkerhetskopians autentiseringsuppgifter så att en komprometterad applikation inte automatiskt kan radera varje återställningskopia. Övervaka diskkapacitet, säkerhetskopians ålder och tjänstefel. Loggning bör svara på definierade driftfrågor, med åtkomst och lagringstid kontrollerade; den bör inte bli en obegränsad kopia av känsliga förfrågningar.
En förstagångsdistributionssekvens som förblir granskningsbar
För en ny VPS, verifiera först åtkomst och återställning, upprätta sedan det administrativa kontot och den testade nyckeln. Konfigurera brandväggen, tillämpa uppdateringar och distribuera applikationen under dess avsedda tjänstekonto. Bekräfta offentligt beteende från en annan miljö, kontrollera att privata filer inte kan hämtas och utför en återställning av säkerhetskopian. För anteckningar om varje beslut och vägen för att återställa en åtkomständring.
Vector VPS, Pulse NVMe och utvalda dedikerade planer presenterar Linux-val i SwissOctet-katalogen. Bekräfta den valda avbildningen och fördelningen av underhållsarbetet innan du beställer. Inget Linux-avbildningsnamn bevisar att härdning, uppdateringar eller säkerhetskopior redan hanteras. Baslinjen är den uppsättning kontroller du konfigurerar, verifierar och fortsätter att underhålla när projektet förändras.
Din praktiska checklista.
- Verifiera SSH-värdens identitet och återställningsväg.
- Testa individuell nyckelåtkomst i en andra session.
- Begränsa lyssnande tjänster och brandväggsregler.
- Granska uppdateringstäckning och omstartsbeteende.
- Separera hemligheter från offentliga filer och tjänstebehörigheter.
- Testa en oberoende återställningskopia.
Detaljerna som spelar roll.
Bör jag inaktivera lösenordsinloggning omedelbart?+
Upprätta och testa först den ersättande nyckelåtkomsten och återställningsvägen. Ändra sedan autentiseringen enligt din supportade konfiguration.
Ersätter en ändring av SSH-porten härdning?+
Nej. Det ersätter inte stark autentisering, begränsad åtkomst, uppdateringar eller lämplig kontobehörighet.
Räcker automatiska uppdateringar för varje applikation?+
Nej. Kontrollera tillåtna förråd, omstartskrav och programvara som installerats utanför systemets uppdateringsprocess.
Gå till källan.
Dessa referenser stöder de tekniska begreppen i denna guide. Följ aktuell dokumentation innan du ändrar ett produktionssystem.
- Ubuntu Server: OpenSSH-server ubuntu.com
- Ubuntu Server: Brandväggar ubuntu.com
- Ubuntu Server: Automatiska uppdateringar ubuntu.com
Redaktionell vägledning av SwissOctet. Exemplen är illustrativa. Tjänstespecifikationer, tillgängliga alternativ och avtalsvillkor måste verifieras separat.