Ein Dedicated-Chassis kommt mit Root und öffentlicher IP—nützliche Power, aber auch ein Scanner-Magnet, bis Sie härten. Die ersten 24 Stunden nach EuroVDC-Lieferung in Sofia (EU) sollen die Angriffsfläche verkleinern, bevor DNS, Panels oder Kundendaten auf die Box kommen. Diese Checkliste ist operativ, nicht theatralisch.
Kapazität auf Dedicated Server bestellen. Admin-Pfade hinter Private VPN legen, damit SSH und Panels nicht dauerhaft weltoffen bleiben.
Stunde 0–2: Inventar und Zugang
- IPMI-/Console-Zugangsdaten prüfen, bevor Sie netzseitig etwas ändern.
- Hostname, IPs, RAID-Status und OS-Image im Runbook festhalten.
- Benannten Admin-User anlegen; Root nur für Break-Glass behalten.
- Keys installieren; Passwort-SSH deaktivieren, sobald Key-Login funktioniert.
Stunde 2–8: Netz- und OS-Baseline
- Firewall Default-Deny: nur Nötiges erlauben (22 temporär, dann VPN-only; 80/443 wenn die Site bereit ist).
- Ungenutzte Dienste schließen; Default-Ballast vom Image entfernen falls vorhanden.
- Security-Updates einspielen; rebooten wenn der Kernel es verlangt—besser jetzt als mitten in der Kampagne.
- Automatische Security-Updates oder einen Kalender-Reminder, den Sie wirklich einhalten.
- Zeitzone/NTP setzen; falsche Uhren zerstören Logs und TLS-Debug.
- fail2ban oder gleichwertig für alles, was öffentlich bleiben muss.
Stunde 8–16: Admin-Pfad und Secrets
- Private VPN (OpenVPN AS auf privatem VPS) aufsetzen; nur Admin-Geräte enrollen.
- SSH-/Panel-Ports auf VPN-Subnet oder dedizierte VPN-IP sperren; Rest droppen.
- Temporäre Passwörter aus der Liefermail rotieren; Secrets in Vault, nicht in Chat.
- Break-Glass dokumentieren: Provider-Console wenn VPN-Host oder Firewall-Fehlkonfig aussperrt.
Stunde 16–24: Backups und Nachweis
- Definieren, was restorable sein muss (OS-Config, DB, Media) und wo Snapshots/Off-Box-Kopien liegen.
- Einen Restore-Smoke-Test—auch eine winzige Datei—bevor die Maschine „production ready“ heißt.
- Monitoring einschalten (Disk, Load, Auth-Failures); Alert an jemanden, der nachts antwortet.
- Erst dann DNS oder Traffic umlegen.
Sofia-Platzierung hält das Metal im EU-Kontext neben Ihren anderen EuroVDC-Workloads. Härten an Tag eins schlägt Incident-Notizen an Tag drei.
Häufig gestellte Fragen
Kann ich Härten bis zur App-Installation verschieben?
Nein. Scanner finden frische IPs schnell. Zuerst Firewall und SSH; Apps danach.
Reicht ein Nicht-Standard-SSH-Port?
Nein—nur Defence-in-Depth. Preferieren Sie VPN-only SSH plus Keys, nicht Obskurität allein.
Brauche ich Private VPN am Tag eins?
Für Admin-Zugang stark empfohlen. EuroVDC Private VPN liefert einen dedizierten OpenVPN-AS-Exit zum Allow-Listen.
Was wenn ich mich aussperre?
IPMI/Provider-Console als Break-Glass. Dokumentieren Sie den Pfad, bevor Sie Firewall-Regeln anziehen.
Wo läuft der Server?
EuroVDC Dedicated Server werden in Sofia (EU) geliefert.
Wie starte ich?
Lieferung auf Dedicated Server nehmen, diese Checkliste abschließen, dann Private VPN ergänzen, bevor Admin-Ports fürs Team öffnen.
