Как защитить SSH на VPS: смена порта, настройка Fail2ban и другие методы

SSH (Secure Shell) — это основной канал управления вашим VPS-сервером. Однако именно он чаще всего становится целью для атак: брутфорс-сканеры, подбор паролей и использование уязвимостей — всё это стандартные угрозы для любого публичного сервера в интернете. В этой статье мы разберем комплексный подход к защите SSH, который включает смену стандартного порта, установку и настройку Fail2ban, а также ряд других обязательных мер. Вы узнаете, как превратить ваш VPS в неприступную крепость, а заодно поймете, почему для максимальной безопасности и анонимности лучше использовать личный VPN-сервер на выделенном VPS.

Почему защита SSH критически важна

Представьте, что вы оставляете входную дверь своего дома открытой и прикрепляете к ней табличку с номером квартиры. Примерно так выглядит стандартная конфигурация SSH на многих VPS: порт 22 (известный всем), разрешенный root-вход и парольная аутентификация. По данным исследований, среднестатистический VPS получает до 1000 попыток взлома SSH в день. Это не просто цифры — это реальная угроза.

Злоумышленники используют автоматизированные боты, которые сканируют весь интернет-диапазон IP-адресов, пытаясь подобрать логин/пароль к SSH. Если ваш сервер защищён слабо, он станет частью ботнета, будет использован для DDoS-атак или для доступа к вашим данным.

К счастью, защита SSH — это не сложно и занимает не более 15–20 минут. Начнём с самого эффективного и простого шага.

Смена стандартного порта (22 → нестандартный)

Смена порта SSH — это как сменить замок на двери и не вешать табличку. Это первая линия обороны, которая мгновенно отсекает 99% автоматических сканеров, которые проверяют только 22-й порт.

Как сменить порт SSH на VPS (пошагово)

1. Подключитесь к серверу по SSH: ssh root@ваш_ip -p 22
2. Откройте конфигурационный файл SSH: sudo nano /etc/ssh/sshd_config
3. Найдите строку #Port 22 и замените её на, например, Port 50421 (выберите случайный порт от 1024 до 65535).
4. Сохраните файл (Ctrl+O, Enter) и закройте (Ctrl+X).
5. Разрешите новый порт в фаерволе:
   • UFW: sudo ufw allow 50421/tcp
   • Firewalld: sudo firewall-cmd --permanent --add-port=50421/tcp && sudo firewall-cmd --reload
6. Перезапустите SSH-сервис: sudo systemctl restart sshd
7. Проверьте подключение: откройте новое SSH-соединение с новым портом. Не закрывайте старую сессию, пока не убедитесь, что всё работает.

Настройка Fail2ban для автоматической блокировки

Fail2ban — это инструмент, который сканирует логи служб (в том числе SSH) и блокирует IP-адреса, с которых слишком много неудачных попыток входа. Это ваш личный страж, который автоматически заносит злоумышленников в чёрный список на заданное время.

Установка и настройка Fail2ban

1. Установите Fail2ban:
   • Debian/Ubuntu: sudo apt update && sudo apt install fail2ban -y
   • CentOS/RHEL: sudo yum install epel-release -y && sudo yum install fail2ban -y
2. Создайте локальный конфиг: sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
3. Отредактируйте jail.local: sudo nano /etc/fail2ban/jail.local
4. Найдите секцию [sshd] и убедитесь, что она активна:

   [sshd]
   enabled = true
   port    = ssh
   logpath = %(sshd_log)s
   backend = %(sshd_backend)s
   maxretry = 3
   bantime = 3600
   findtime = 600

   Пояснения: maxretry=3 — блокировать после 3 неудачных попыток, bantime=3600 — блокировка на 1 час, findtime=600 — учитывать попытки за последние 10 минут.

5. Перезапустите Fail2ban: sudo systemctl restart fail2ban
6. Проверьте статус: sudo fail2ban-client status sshd

Отключение root-логина и создание sudo-пользователя

Вход под пользователем root — это как если бы у вас была учётная запись администратора без пароля. Даже если вы сменили порт и настроили Fail2ban, атака на root-аккаунт остаётся самой опасной. Лучшая практика — полностью отключить root-доступ через SSH и работать через обычного пользователя с правами sudo.

Пошаговая инструкция

1. Создайте нового пользователя: sudo adduser ваш_пользователь
2. Добавьте его в группу sudo: sudo usermod -aG sudo ваш_пользователь
3. Проверьте, что можете войти под новым пользователем: ssh ваш_пользователь@ваш_ip -p новый_порт
4. Отредактируйте /etc/ssh/sshd_config и замените:
   • PermitRootLogin yes → PermitRootLogin no
5. Перезапустите SSH: sudo systemctl restart sshd

Использование SSH-ключей вместо паролей

SSH-ключи — это пара «публичный + приватный» ключей. Это самый безопасный способ аутентификации, который практически невозможно взломать (если вы не потеряете свой приватный ключ). Парольная аутентификация может быть взломана брутфорсом, а ключ — нет.

Как настроить вход по SSH-ключам

1. Сгенерируйте ключи на вашем локальном компьютере: ssh-keygen -t ed25519 -C "your_email@example.com"
2. Скопируйте публичный ключ на сервер: ssh-copy-id ваш_пользователь@ваш_ip -p новый_порт
3. Отредактируйте /etc/ssh/sshd_config и включите:
   • PasswordAuthentication no — отключить вход по паролю.
   • PubkeyAuthentication yes — разрешить вход по ключам.
4. Перезапустите SSH: sudo systemctl restart sshd

Дополнительные меры: 2FA, баннеры и ограничения

Для максимальной защиты вы можете использовать дополнительные методы:

• Двухфакторная аутентификация (2FA) — настройка через google-authenticator для SSH. Добавляет дополнительный код при входе.
• Настройка баннера — показывает предупреждение о несанкционированном доступе при подключении (юридическая защита).
• Ограничение попыток ввода (MaxAuthTries) — в sshd_config установите MaxAuthTries 3, чтобы ограничить количество попыток ввода.
• Использование «AllowUsers» — укажите конкретных пользователей, которым разрешён вход: AllowUsers ваш_пользователь.
• Настройка TCP Wrappers — ограничение доступа по IP через /etc/hosts.allow и /etc/hosts.deny.

Эти меры сделают ваш сервер практически неуязвимым для внешних атак.

Массовый VPN vs Личный VPN на VPS

Итог: безопасность начинается с вас

Защита SSH на VPS — это не опция, а необходимость. Следуя этим простым шагам (смена порта, Fail2ban, отключение root, использование ключей), вы снижаете риск взлома вашего сервера практически до нуля. Но безопасность — это не только технические меры, но и правильный выбор инфраструктуры.

Личный VPN на VPS с технологией XHTTP + Reality — это не только способ обойти цензуру, но и гарантия вашей цифровой безопасности. Используйте выделенный сервер, чтобы быть уверенным в своей анонимности и защите.