Tüm internete açık SSH, ilk saatten itibaren sürekli taranır. Yönetim erişimini özel bir VPN’in arkasına almak bu maruziyeti küçültür: yalnızca tünelin içindeki istemciler 22. porta, kontrol panellerine ve veritabanlarına ulaşır. Aşağıdaki adımlar her Linux sunucusunda çalışır.
Neden VPN ve SSH anahtarı birlikte
- Daha küçük saldırı yüzeyi. Tarayıcılar yönetim portlarını hiç görmez.
- İki kapı. Önce VPN kullanıcısı, sonra SSH anahtarı.
- İstikrarlı izin listesi. Tek bir ayrılmış VPN adresine güvenlik duvarında güvenmek, değişen bir ev bağlantısına güvenmekten kolaydır.
- Kolay bir denetim ifadesi: yönetim erişimi yalnızca özel bir tünelden.
Sıkılaştırma kontrol listesi
- Private VPN’i devreye alın ve yalnızca yönetici cihazlarını kaydedin.
- Her sunucuda SSH ve panel portlarına VPN adresinden izin verin, geri kalan her şeyi düşürün.
- Yalnızca anahtarla SSH kullanın: parola girişini ve doğrudan root girişini kapatın.
- Herkese açık kalması gereken hizmetler, örneğin web ve posta için fail2ban gibi bir engelleme aracı tutun.
- Sağlayıcı konsolu üzerinden bir acil durum yolu belgeleyin; kilitlenmiş sunucunun geri dönüş yoluna ihtiyacı vardır.
- Biri ayrıldığı gün VPN’deki kullanıcıyı iptal edin.
Eskisini kapatmadan önce yeni kuralı ikinci bir oturumdan test edin. Yanlış yazılmış bir güvenlik duvarı kuralı kendinizi dışarıda bırakmanın en hızlı yoludur.
Kaçınılacak hatalar
| Hata | Daha iyisi |
|---|---|
| Tek koruma olarak standart dışı SSH portu | Anahtarlar ve güvenlik duvarı; port isteğe bağlı |
| Tüm yöneticiler için tek ortak VPN hesabı | Herkese adlandırılmış bir kullanıcı |
| IPv6 kuralları olmadan IPv4 kuralları | Aynı politikayı iki yığına da uygulayın |
| Herkese açık portlarda bırakılmış paneller | SSH gibi davranın |
Kimin kaydedildiğini, profillerin ne zaman iptal edildiğini ve hangi güvenlik duvarı nesnelerinin VPN adresini kullandığını kaydedin. Bu iz bir denetimde önemlidir. İlk gün kontrol listesi ilk 24 saatte güvenlik yazısında, ekip kurulumu uzaktan çalışanlar için VPN kurulumu yazısında. Korunacak sunucular: bulut ve fiziksel.
Sık sorulan sorular
Ne olur ne olmaz SSH’i açık bırakabilir miyim?
Bırakabilirsiniz, ama sürekli taramayı da üstlenirsiniz. Konsol yedekli, yalnızca VPN SSH daha temizdir.
Ayrılmış VPN adresi önemli mi?
Evet. Sabit adres izin listesini kısa ve istikrarlı tutar.
Panel portları ne olacak?
SSH gibi davranın ve mümkün olduğunda yalnızca VPN’e açın.
VPN sunucusu çökerse?
Sağlayıcı konsolunu kullanın. Adımları ihtiyaç duymadan önce yazın.
