Lo primero que hay que hacer al estrenar un VPS (checklist de seguridad)
Checklist para los primeros 30 minutos de un VPS Linux nuevo: actualizar, crear un usuario, claves SSH, desactivar la contraseña, cortafuegos, fail2ban, actualizaciones automáticas y copias.
En este artículo
Un VPS recién creado empieza a recibir intentos de acceso por SSH en cuestión de minutos. No es paranoia: hay bots que recorren internet probando contraseñas sin parar. Estos son los pasos que damos nosotros para configurar un VPS nuevo, antes de instalar nada más.
La checklist
- Actualizar el sistema.
- Crear un usuario normal con sudo.
- Entrar con claves SSH y desactivar la contraseña.
- Cortafuegos con lo mínimo abierto.
- Fail2ban contra ataques de fuerza bruta.
- Actualizaciones de seguridad automáticas.
- Copias desde el primer día.
Los comandos son para Ubuntu o Debian; en AlmaLinux o Rocky cambian apt por dnf y ufw por firewalld.
1. Actualiza
apt update && apt upgrade -y
reboot2. Crea un usuario y deja de usar root
adduser ana
usermod -aG sudo ana3. Claves SSH en vez de contraseña
En tu ordenador (no en el servidor):
ssh-keygen -t ed25519
ssh-copy-id ana@IP_DEL_VPSComprueba que entras sin contraseña con ssh ana@IP_DEL_VPS. Solo entonces, en el servidor, edita /etc/ssh/sshd_config:
PermitRootLogin no
PasswordAuthentication nosystemctl restart sshDeja abierta la sesión SSH actual mientras pruebas en otra ventana que puedes entrar. Si algo falla, todavía puedes corregirlo. Y si aun así te quedas fuera, la consola de tu proveedor te salva.
4. Cortafuegos
ufw default deny incoming
ufw default allow outgoing
ufw allow OpenSSH
ufw allow 80
ufw allow 443
ufw enableAbre solo lo que uses. Si el servidor no va a servir webs, ni el 80 ni el 443.
5. Fail2ban
apt install -y fail2ban
systemctl enable --now fail2ban
fail2ban-client status sshdBloquea durante un tiempo las IP que fallan varias veces seguidas. Con claves SSH ya estás protegido, pero limpia mucho los registros.
6. Actualizaciones automáticas de seguridad
apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgradesInstala solo los parches de seguridad, sin saltos de versión. Habría venido muy bien con PHP2Shell.
7. Copias desde el primer día
Decide qué vas a copiar, dónde y cada cuánto antes de tener nada importante dentro. Si necesitas ideas, tienes nuestra guía de copias de seguridad.
Extras que recomendamos
- Zona horaria:
timedatectl set-timezone Europe/Madrid. - Swap en VPS pequeños, para que un pico de memoria no tumbe procesos.
- Monitorización básica (uso de disco, memoria, servicios) con alertas.
En un VPS administrado todo esto (y el mantenimiento posterior) lo hacemos nosotros. Si te gusta tenerlo bajo control, nuestros VPS no administrados te dan root desde el primer minuto.
Ver VPS administrado
Equipo de Rackmarkt
Escrito por el equipo técnico que administra nuestra plataforma de hosting, VPS y servidores. Conoce a nuestro soporte.
