Um servidor com IP público recebe tentativas automáticas de login desde o primeiro dia. Três ajustes fecham as entradas mais comuns.
- SSH só com chave, sem senha e sem login como root.
- Firewall que só libera o que a máquina serve.
- Correções de segurança instaladas sozinhas, todo dia.
No servidor dedicado, sistema, atualizações e backup ficam com você, como mostra o guia de quando sair da VPS. Os exemplos usam Ubuntu.
SSH só com chave
Gere a chave no seu computador com ssh-keygen -t ed25519 e coloque a parte pública no ~/.ssh/authorized_keys de um usuário com sudo. Teste a entrada numa segunda janela e deixe a primeira aberta para corrigir o que der errado.
Com a chave funcionando, desligue a senha e o login do root no /etc/ssh/sshd_config, com PasswordAuthentication no e PermitRootLogin no, como descreve o manual do OpenSSH. Confira o resultado com sudo sshd -T, porque um arquivo em /etc/ssh/sshd_config.d/ pode ter prioridade. Depois, reinicie o serviço e teste de novo.
Firewall fechado por padrão
O ufw, ferramenta de firewall padrão do Ubuntu, vem desligado. Libere o SSH antes de ligar, ou a próxima conexão será bloqueada:
sudo ufw default deny incoming
sudo ufw allow ssh
sudo ufw enable
sudo ufw status verboseDepois, abra só as portas dos serviços, como 80 e 443 de um site ou a do servidor de jogo. Para o banco, o guia do PostgreSQL no primeiro dia mostra como aceitar só os IPs da aplicação. Se você usa Docker, a porta publicada com -p passa por fora do ufw. Publique em 127.0.0.1 o que só a própria máquina usa, como em -p 127.0.0.1:8080:80.
Atualizações automáticas
Antes de instalar qualquer serviço, rode sudo apt update && sudo apt upgrade e reinicie. Daí em diante, o unattended-upgrades, que no Ubuntu já vem instalado e ligado, aplica as correções de segurança uma vez por dia.
Algumas correções só valem depois de reiniciar a máquina, e o reinício automático vem desligado. Quase todos os serviços afetados, porém, reiniciam sozinhos desde o Ubuntu 24.04, e a mesma página mostra como tirar um deles dessa regra. Em máquina de jogo ou de banco, reinicie você num horário de pouco movimento, quando o sistema avisar.
Depois do primeiro dia
Com o acesso fechado, o próximo passo é o backup fora da máquina, como explica a regra 3-2-1.
