Securizarea unui server nou: lista de verificare

Mai jos sunt pașii de securitate pentru un server nou, în ordinea în care îi faceți. Unii se fac în panoul app.blackbox.md, pe cardul serverului din pagina „Serverele mele” (app.blackbox.md/my-servers, meniul din stânga „Infrastructură” → „Serverele mele”), iar ceilalți pe server, prin SSH, ca root. Comenzile sunt pentru imaginile Ubuntu, Debian, AlmaLinux și CentOS Stream.

Disponibil pentru: titularul contului blackbox.md care a comandat serverul. Pe cardurile marcate „Administrat” butoanele panoului nu apar; pentru aceste servere scrieți-ne.

Atenție Clienții nu au consolă web sau VNC: dacă pierdeți accesul SSH și nici panoul nu mai ajunge la server, vă poate ajuta doar suportul. Cât timp schimbați setările SSH sau firewall-ul, păstrați deschisă o a doua sesiune SSH și închideți-o abia după ce v-ați conectat dintr-un terminal nou. Nu ștergeți „Cheie de administrare (blackbox.md)” din /root/.ssh/authorized_keys: cu ea lucrează butoanele panoului.

Lista pe scurt

1. Actualizați sistemul

Conectați-vă la server (Conectarea la server prin SSH (Windows, macOS, Linux)) și instalați actualizările.

Ubuntu și Debian

apt update
apt upgrade -y

AlmaLinux și CentOS Stream

dnf upgrade -y

Pe Ubuntu poate apărea o fereastră a programului needrestart, care întreabă ce servicii să fie repornite: lăsați selecția propusă și apăsați Enter.

Dacă s-a actualizat nucleul (pachetele linux-image-… pe Ubuntu și Debian, kernel pe AlmaLinux și CentOS Stream), reporniți serverul cu „Repornește” de pe card (Repornirea, oprirea și pornirea serverului) și conectați-vă din nou după un minut. Pe Ubuntu, dacă există fișierul /var/run/reboot-required, repornirea este necesară.

2. Schimbați parola root primită pe email

Dacă la comandă nu ați atașat o cheie SSH sau ați debifat „Dezactivează autentificarea prin parolă (doar cheie SSH)”, parola root v-a sosit în emailul „Serverul dvs. este gata — BBX-…”. Înlocuiți-o:

1. Pe cardul serverului, apăsați „Resetează parola”.
2. Confirmați mesajul „Resetați parola pentru NUME_SERVER? Parola curentă încetează să funcționeze imediat.” cu „OK”.
3. Parola nouă apare pe card, în caseta cu „Utilizator” și „Parolă”. Salvați-o într-un manager de parole.

Panoul păstrează parola nouă, așa că o revedeți oricând cu „Afișează datele de acces”. O puteți schimba și pe server, cu passwd, dar atunci panoul afișează în continuare parola veche, iar pe cea nouă o păstrați doar dvs. Dacă ați comandat serverul doar cu cheie, emailul nu conține parola: treceți la pasul 3.

3. Adăugați cheia SSH și testați-o

Dacă ați atașat cheia la comandă, ea este deja pe server: treceți direct la test (punctul 5). Altfel:

1. Dacă nu aveți o cheie, creați-o pe calculatorul dvs.: Generarea unei chei SSH (Windows, macOS, Linux).

2. Pe cardul serverului, apăsați „Adaugă cheie SSH”.

3. Alegeți „Folosește o cheie salvată” și cheia din listă sau „Lipește o cheie nouă” și lipiți linia cheii publice (ssh-ed25519 AAAA…).

4. Apăsați „Adaugă cheia”. Apare „Cheie adăugată.”, iar cheia apare în „Chei instalate”.

5. Într-un terminal nou, conectați-vă doar cu cheia:

   ssh -o PreferredAuthentications=publickey root@IP_SERVER

Dacă vă conectați (eventual după fraza de acces a cheii), cheia funcționează: lăsați această sesiune deschisă pentru pașii următori. Dacă apare Permission denied, nu continuați: verificați cheia cu Adăugarea și ștergerea cheilor SSH pe server.

4. Dezactivați autentificarea cu parolă din panou

Dacă ați comandat serverul doar cu cheie, insigna de lângă numele serverului arată deja „Doar cheie”: treceți la pasul 5.

1. Pe cardul serverului, apăsați „Dezactivează login cu parolă”.
2. Confirmați „Dezactivați autentificarea prin parolă SSH pe NUME_SERVER? După aceasta, doar cheile SSH instalate se vor putea conecta. Parola de consolă rămâne funcțională.” cu „OK”.
3. Insigna de lângă numele serverului devine „Doar cheie”, iar butonul se schimbă în „Activează login cu parolă”.
4. Dintr-un terminal nou, verificați că vă conectați cu cheia (comanda de la pasul 3).

„Parola de consolă” din mesaj este parola root salvată în panou: rămâne setată, dar prin SSH nu mai funcționează. Clienții nu au consolă web.

Nu editați PasswordAuthentication în /etc/ssh/sshd_config. Butonul scrie setarea într-un fișier separat din /etc/ssh/sshd_config.d/, care are prioritate față de fișierul principal, apoi o verifică pe server. Dacă apare „Nu a fost găsită nicio cheie instalată — adăugați o cheie înainte de a dezactiva parola.”, reveniți la pasul 3.

5. Creați un utilizator cu drepturi sudo (opțional)

Dacă preferați să lucrați zilnic cu alt utilizator decât root, creați-l. Contul root rămâne activ și accesibil cu cheie: panoul și asistentul AI îl folosesc.

Ubuntu și Debian

adduser NUME_UTILIZATOR
usermod -aG sudo NUME_UTILIZATOR

adduser vă cere parola utilizatorului nou (o folosiți la sudo); celelalte câmpuri le puteți lăsa goale. Pe Debian, dacă lipsește comanda sudo, instalați-o:

apt install -y sudo

AlmaLinux și CentOS Stream

adduser NUME_UTILIZATOR
passwd NUME_UTILIZATOR
usermod -aG wheel NUME_UTILIZATOR

Cheia SSH a utilizatorului nou

Copiați cheile autorizate ale lui root:

mkdir -p /home/NUME_UTILIZATOR/.ssh
cp /root/.ssh/authorized_keys /home/NUME_UTILIZATOR/.ssh/authorized_keys
chown -R NUME_UTILIZATOR:NUME_UTILIZATOR /home/NUME_UTILIZATOR/.ssh
chmod 700 /home/NUME_UTILIZATOR/.ssh
chmod 600 /home/NUME_UTILIZATOR/.ssh/authorized_keys

Pe AlmaLinux și CentOS Stream refaceți și contextul SELinux al directorului:

restorecon -R /home/NUME_UTILIZATOR/.ssh

Copia conține și cheile BLACKBOX (Cheile BLACKBOX de pe serverul dvs.). Utilizatorului nou nu îi sunt necesare: le puteți șterge din /home/NUME_UTILIZATOR/.ssh/authorized_keys, niciodată din /root/.ssh/authorized_keys.

Testați dintr-un terminal nou. Conectați-vă cu utilizatorul nou:

ssh NUME_UTILIZATOR@IP_SERVER

Apoi, pe server, rulați comanda de mai jos. După ce introduceți parola utilizatorului, ea trebuie să afișeze root.

sudo whoami

6. Păstrați conectarea root cu cheie

Setarea corectă este PermitRootLogin prohibit-password: root se conectează doar cu cheie, iar parola root nu mai poate fi ghicită prin SSH. Pasul 4 (sau comanda doar cu cheie) o setează deja, deci nu trebuie să editați nimic. Verificați setările aplicate efectiv:

sshd -T | grep -Ei 'passwordauthentication|permitrootlogin'

Rezultatul trebuie să conțină passwordauthentication no și permitrootlogin prohibit-password. Unele versiuni OpenSSH afișează permitrootlogin without-password: este aceeași setare, cu numele vechi.

Important Nu setați PermitRootLogin no. Panoul („Resetează parola”, „Chei instalate”, butoanele de autentificare cu parolă) și asistentul AI se conectează ca root cu cheia de administrare BLACKBOX. Cu no, aceste funcții nu mai merg, iar fără consolă web nu le puteți repara din panou.

Dacă ați setat deja PermitRootLogin no (de exemplu după un ghid mai vechi), conectați-vă cu utilizatorul cu drepturi sudo și deveniți root:

sudo -i

În fișierul în care ați scris setarea, înlocuiți linia cu PermitRootLogin prohibit-password. Apoi verificați configurația și reîncărcați SSH:

sshd -t
systemctl reload ssh || systemctl reload sshd

sshd -t nu afișează nimic dacă configurația este corectă. Dacă afișează o eroare, corectați-o înainte de reîncărcare. Dacă nu aveți alt utilizator cu sudo, scrieți suportului: Ați pierdut accesul la server (parolă sau cheie).

7. Porniți firewall-ul, permițând întâi SSH

Filtrarea din rețea, administrată de BLACKBOX, lasă să treacă spre server SSH (22), HTTP (80), HTTPS (443) și ping. Firewall-ul din sistem (ufw sau firewalld) este oprit pe un server nou.

Permiteți SSH înainte să porniți ufw, altfel vă blocați. Nu limitați portul 22 doar la adresa dvs. IP: panoul se conectează la server pe acest port. După pornire, fără să închideți sesiunea curentă, verificați dintr-un terminal nou că vă conectați în continuare.

Dacă serverul are un panou de control instalat (planurile „VPS hosting”), întrebați întâi suportul: panoul poate avea propriul firewall și propriul fail2ban, iar două firewall-uri active se pot contrazice.

Ubuntu și Debian

apt install -y ufw
ufw allow 22/tcp
ufw enable

La întrebarea „Command may disrupt existing ssh connections. Proceed with operation (y|n)?” răspundeți y.

AlmaLinux și CentOS Stream

Zona implicită a firewalld permite deja SSH, așa că pornirea nu vă deconectează. A treia comandă face regula permanentă.

dnf install -y firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload

Porturile pentru site

Pentru un site permiteți și porturile 80 și 443, iar pentru alte porturi citiți Firewall: filtrarea din rețea și ufw/firewalld pe server.

8. Instalați fail2ban

fail2ban blochează temporar adresele IP care încearcă repetat să ghicească parole prin SSH.

Ubuntu și Debian

apt install -y fail2ban python3-systemd

AlmaLinux și CentOS Stream

Pachetul vine din depozitul EPEL. fail2ban blochează adresele prin firewalld, așa că faceți întâi pasul 7.

dnf install -y epel-release
dnf install -y fail2ban python3-systemd

Pe toate sistemele

Activați protecția SSH, porniți serviciul și verificați-l:

printf '[sshd]\nenabled = true\nbackend = systemd\n' > /etc/fail2ban/jail.local
systemctl enable fail2ban
systemctl restart fail2ban
fail2ban-client status sshd

Ultima comandă trebuie să afișeze „Status for the jail: sshd”. Dacă spune că nu se poate conecta la serviciu, așteptați câteva secunde și repetați-o. Configurarea în detaliu: Protecție împotriva încercărilor de ghicire a parolei cu fail2ban.

9. Porniți actualizările automate de securitate

Ubuntu și Debian

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

La întrebarea „Automatically download and install stable updates?” răspundeți „Yes”. Pe Ubuntu pachetul este de regulă deja instalat, iar comenzile confirmă că este activ.

AlmaLinux și CentOS Stream

dnf install -y dnf-automatic
systemctl enable --now dnf-automatic-install.timer

Timer-ul descarcă și instalează zilnic toate actualizările disponibile.

Actualizările automate nu repornesc serverul: un nucleu nou are efect abia după o repornire (pasul 1). Detalii și setări: Actualizări de sistem și actualizări automate de securitate.

10. Planificați copiile de rezervă

BLACKBOX nu face copii de rezervă automate ale serverului dvs., iar datele de pe el sunt responsabilitatea dvs. (Responsabilitatea pentru datele de pe server și backup). Butonul „Backup” de pe cardul serverului nu este activ: dacă îl apăsați, poate afișa backup_extra_disabled.

Faceți copii regulate ale fișierelor și ale bazelor de date, păstrați cel puțin o copie în afara serverului și verificați din când în când că o puteți restaura: Strategia de backup pentru serverul dvs..

11. Verificați pagina „Monitorizare” (dacă aveți serviciul Monitoring)

Pasul este pentru serverele cu serviciul suplimentar „Monitoring 24/7”, disponibil pentru Ubuntu și Debian (Serviciul Monitoring: agentul instalat pe server).

1. În panou, deschideți „Monitorizare” (app.blackbox.md/monitoring).
2. În tabelul „Serverele dvs.”, coloana „Monitorizare” a serverului trebuie să arate „Activ”. „Se conectează…” înseamnă că agentul încă se instalează; la „Eșuat”, scrieți-ne.
3. În cardul „Alerte”, la „Preferințe de notificare”, lăsați bifat „Trimiteți-mi email când apare o alertă nouă”, alegeți nivelul în „Severitate minimă” și apăsați „Salvează” (Alerte și notificări pe email).

Agentul trimite datele prin conexiuni de ieșire, pe care ufw și firewalld le permit implicit. Nu blocați traficul de ieșire al serverului.

Întrebări frecvente

Pot muta SSH pe alt port? Nu vă recomandăm. Filtrarea din rețea lasă să treacă implicit doar porturile de la pasul 7, așa că SSH pe alt port poate deveni inaccesibil, iar panoul se conectează pe portul 22. Dacă aveți nevoie de alt port, întrebați întâi suportul: Cum contactați suportul BLACKBOX.

Vechiul articol „Securizarea de bază a unui VPS” din „Bază de cunoștințe” recomanda altceva. Pe care îl urmez? Pe acesta. Vechiul articol recomanda PermitRootLogin no și editarea PasswordAuthentication în /etc/ssh/sshd_config; ambele intră în conflict cu panoul. Acest ghid înlocuiește acele recomandări.

Nu mai am acces la server. Ce fac? Dacă butoanele panoului încă funcționează, apăsați „Activează login cu parolă” și conectați-vă cu parola afișată de „Afișează datele de acces” (dacă ați schimbat-o cu passwd, apăsați întâi „Resetează parola”). După ce reparați accesul cu cheie, dezactivați din nou login-ul cu parolă (pasul 4). Dacă nici panoul nu mai ajunge la server (de exemplu, firewall-ul blochează portul 22), urmați Ați pierdut accesul la server (parolă sau cheie).

Pagina „Monitorizare” îmi arată dacă serverul este securizat? Nu. Ea arată încărcarea (CPU, RAM, disc, procese) serverelor cu serviciul Monitoring. Setările din acest ghid le verificați pe server, cu comenzile de mai sus.