SSH, das für das ganze Internet offen steht, wird ab der ersten Stunde ständig gescannt. Den Admin-Zugang hinter ein privates VPN zu legen, verkleinert diese Angriffsfläche: Nur Clients im Tunnel erreichen Port 22, Control Panels und Datenbanken. Die folgenden Schritte funktionieren auf jedem Linux-Server.
Warum VPN plus SSH-Schlüssel
- Kleinere Angriffsfläche. Scanner sehen die Verwaltungsports nie.
- Zwei Tore. Erst der VPN-Nutzer, dann der SSH-Schlüssel.
- Eine stabile Freigabeliste. Einer festen VPN-Adresse lässt sich in der Firewall leichter vertrauen als einem wechselnden Heimanschluss.
- Eine einfache Audit-Aussage: Admin-Zugang nur über einen privaten Tunnel.
Härtungs-Checkliste
- Privates VPN aktivieren und nur die Admin-Geräte registrieren.
- Auf jedem Server SSH- und Panel-Ports von der VPN-Adresse zulassen und alles andere verwerfen.
- SSH nur mit Schlüsseln: Passwort-Login und direkten Root-Login abschalten.
- Ein Sperrwerkzeug wie fail2ban für Dienste behalten, die öffentlich bleiben müssen, etwa Web und Mail.
- Einen Notweg über die Anbieter-Konsole dokumentieren, denn ein abgeriegelter Server braucht einen Weg zurück.
- Den VPN-Nutzer am Tag des Ausscheidens sperren.
Testen Sie die neue Regel aus einer zweiten Sitzung, bevor Sie die alte schließen. Eine vertippte Firewall-Regel ist der schnellste Weg, sich auszusperren.
Fehler, die Sie vermeiden
| Fehler | Besser |
|---|---|
| Ein ungewöhnlicher SSH-Port als einziger Schutz | Schlüssel und Firewall; der Port ist optional |
| Ein gemeinsames VPN-Konto für alle Admins | Je ein benannter Nutzer |
| IPv4-Regeln ohne IPv6-Regeln | Dieselbe Richtlinie auf beide Stacks anwenden |
| Panels an öffentlichen Ports | Wie SSH behandeln |
Halten Sie fest, wer registriert wurde, wann Profile gesperrt wurden und welche Firewall-Objekte die VPN-Adresse nutzen. Diese Spur zählt in einem Audit. Die Checkliste für den ersten Tag steht in Sicherheit in den ersten 24 Stunden, die Team-Einrichtung in VPN-Einrichtung für Remote-Mitarbeiter. Zu schützende Server: Cloud und Dedicated.
Häufige Fragen
Kann ich SSH sicherheitshalber öffentlich lassen?
Sie können, und erben dauerndes Scannen. VPN-only-SSH mit Konsolen-Fallback ist sauberer.
Ist eine feste VPN-Adresse wichtig?
Ja. Eine feste Adresse hält die Freigabeliste kurz und stabil.
Und die Panel-Ports?
Wie SSH behandeln und, wo möglich, nur per VPN erreichbar machen.
Was, wenn der VPN-Host ausfällt?
Die Anbieter-Konsole nutzen. Schreiben Sie die Schritte auf, bevor Sie sie brauchen.
