Zero-Trust-Härtung für VPS: die 10 wichtigsten Regeln für Linux-Server in Produktion
Von ed25519-sk-Hardwareschlüsseln und nicht standardmäßigen SSH-Ports bis zur Kernel-Härtung per sysctl und Protokollierung mit auditd: unsere Sicherheits-Checkliste.
1. Passwort-Anmeldung und Root-Login deaktivieren
Die große Mehrheit automatisierter Scans im Internet greift Root-SSH-Passwörter mit Wörterbuchangriffen an. Wenn Sie die Root-Anmeldung per SSH-Passwort deaktivieren, verschwinden sofort 99,4 % des automatisierten Brute-Force-Rauschens:
bash
In /etc/ssh/sshd_config.d/99-hardened.conf:
PermitRootLogin prohibit-password
PasswordAuthentication no
ChallengeResponseAuthentication no
KbdInteractiveAuthentication no
UsePAM yes
2. Ed25519- oder FIDO2-Hardwareschlüssel vorschreiben
Standardmäßige RSA-2048-Schlüssel gelten nach modernen Kryptografie-Standards als veraltet. Setzen Sie auf moderne Edwards-Kurven-Kryptografie (Ed25519) oder FIDO2-Hardware-Token (Yubikey):
bash
ssh-keygen -t ed25519-sk -O resident -C "production-admin@nodexvps"
3. Netzwerkparameter des Kernels per sysctl härten
Verhindern Sie IP-Spoofing, verwerfen Sie ungültige SYN-Pakete und ignorieren Sie ICMP-Broadcast-Anfragen, indem Sie /etc/sysctl.d/99-security.conf anpassen:
bash
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
Übernehmen Sie die Änderungen sofort mit sudo sysctl --system.
4. NodexVPS Cloud Firewall aktivieren
Kombinieren Sie UFW/nftables auf dem Host mit den Edge-Firewall-Regeln von NodexVPS außerhalb des Servers, um schädlichen Traffic zu verwerfen, bevor er auch nur einen CPU-Zyklus an Ihrer virtuellen Netzwerkschnittstelle kostet.