Щойно сервер отримує публічну IP-адресу, її починають перевіряти автоматичні сканери. Вони шукають відкритий SSH або RDP, доступні бази даних, типові паролі та застарілі служби. Це звичайний масовий пошук слабко захищених систем, а не обов’язково атака саме на ваш сайт.
Мінімальна гігієна безпеки VPS – це дії, які потрібно виконати до запуску проєкту: захистити адміністративний вхід, закрити зайві порти, встановлювати оновлення, мати окремий бекап і бачити, коли сервер працює ненормально.
Як захистити вхід на Linux і Windows VPS
На Linux підключення зазвичай відбувається через SSH. Замість постійної роботи під root створюють окремого користувача з правами sudo. Для входу краще використовувати SSH-ключ: приватна частина зберігається на комп’ютері адміністратора, публічна – на сервері.
Після перевірки входу за ключем можна вимкнути парольну авторизацію та прямий доступ root у налаштуваннях OpenSSH. OpenSSH – це служба, яка приймає SSH-підключення й визначає, хто та яким способом може увійти на сервер.
Додатково на Linux можна встановити Fail2ban. Ця програма читає журнали авторизації й тимчасово блокує IP-адреси після великої кількості невдалих входів. Вона зменшує автоматичний перебір паролів, але не замінює SSH-ключ і фаєрвол.
На Windows VPS основним каналом доступу є RDP. Для нього краще створити окремий обліковий запис адміністратора з унікальним паролем і залишити ввімкненою Network Level Authentication, або NLA. Вона перевіряє користувача до створення повної віддаленої сесії.
RDP варто дозволити лише зі своєї IP-адреси або через VPN. У політиках Windows також потрібно налаштувати тимчасове блокування облікового запису після кількох неправильних спроб входу. Це ускладнює автоматичний перебір пароля.
Зміна стандартного порту SSH або RDP лише зменшує кількість випадкових сканувань. Повноцінним захистом вона не є.
Які порти справді потрібні
Фаєрвол визначає, які підключення сервер приймає, а які відхиляє. В Ubuntu ним зручно керувати через UFW – спрощений інструмент для створення правил мережевого доступу. В AlmaLinux і Rocky Linux для цього використовують firewalld. У Windows ту саму задачу виконує вбудований Windows Defender Firewall, який не варто вимикати повністю.
Для звичайного вебсервера зазвичай відкривають HTTP 80 і HTTPS 443. SSH 22 або RDP 3389 краще дозволити лише для довірених IP-адрес.
Порти MySQL 3306, PostgreSQL 5432 і Redis 6379 не повинні бути доступними всьому інтернету, якщо сайт і база даних працюють на одному VPS. У такому разі база може приймати лише локальні підключення.
Перед увімкненням фаєрвола потрібно дозволити поточний порт SSH або RDP. Інакше можна власноруч закрити собі доступ до сервера.
Що саме потрібно оновлювати
На Linux системні оновлення встановлюють через apt або dnf. В Ubuntu пакет unattended-upgrades може автоматично отримувати виправлення безпеки. Це корисно для VPS, який адміністратор не перевіряє щодня.
У Windows Server потрібно перевірити роботу Windows Update й не відкладати накопичувальні оновлення. Якщо серверів кілька, для централізованого керування можна використовувати WSUS. Це служба Microsoft, через яку адміністратор завантажує, перевіряє та розгортає оновлення на кількох серверах.
Окремо оновлюються панель керування, вебсервер, PHP, база даних, CMS і плагіни. Оновлена операційна система не виправить старий модуль WordPress або вразливу версію панелі.
У Windows також слід перевірити Microsoft Defender Antivirus. Це вбудований антивірус, який у реальному часі перевіряє файли та запущені процеси. Його бази мають оновлюватися, а весь диск або папку сайту не варто без причини додавати до винятків.
Для типового Linux-вебсервера окремий антивірус не є головним засобом захисту. Важливіші своєчасні оновлення, правильні права на файли, закриті порти та запуск служб від окремих користувачів.
Чому знімка VPS недостатньо
Бекап має зберігатися поза основним VPS. Копія на тому самому диску може зникнути разом із сервером.
Знімок фіксує стан віртуальної машини на певний момент і зручний перед великим оновленням. Проте він не завжди є незалежною довгостроковою резервною копією.
Для сайту потрібно копіювати файли, базу даних і важливі конфігурації. Для Windows-сервера з бізнес-програмою – також її робочі каталоги, базу та дані ліцензування. Бекап можна вважати робочим лише після тестового відновлення.
Як помітити проблему до падіння сайту
На Linux події входу й помилки служб переглядають у системних журналах, зокрема через journalctl. Це команда для читання журналу systemd, у якому зберігаються повідомлення операційної системи та запущених служб.
У Windows ту саму роль виконує Event Viewer, або Перегляд подій. Там можна побачити невдалі входи, помилки системи, зупинку служб і проблеми з оновленнями.
Мінімально потрібно контролювати вільне місце на диску, навантаження процесора, використання пам’яті, доступність сайту та роботу бази даних.
Для зовнішньої перевірки можна використовувати Uptime Kuma. Це безкоштовна система моніторингу, яка регулярно перевіряє сайт або потрібний порт і надсилає повідомлення, якщо сервіс перестає відповідати. Саму систему моніторингу краще розміщувати не на тому VPS, який вона перевіряє.
Після створення VPS потрібно одразу захистити SSH або RDP, налаштувати фаєрвол, встановити оновлення, перевірити захисні служби, створити окремий бекап і підключити сповіщення. Це не повний аудит безпеки, але саме ці дії прибирають більшість типових помилок нового сервера.
Залишити відповідь