Refuerzo Zero Trust de VPS: las 10 reglas esenciales para nodos Linux en producción
Desde las claves de seguridad de hardware ed25519-sk y los puertos SSH no estándar hasta el refuerzo del kernel con sysctl y los registros de auditd, esta es nuestra lista de comprobación de seguridad.
1. Desactive la autenticación por contraseña y el inicio de sesión como root
La gran mayoría de los escaneos automáticos de Internet atacan las contraseñas SSH de root con ataques de diccionario. Desactivar el inicio de sesión SSH de root con contraseña elimina de inmediato el 99,4 % del ruido de fuerza bruta automatizada:
bash
In /etc/ssh/sshd_config.d/99-hardened.conf:
PermitRootLogin prohibit-password
PasswordAuthentication no
ChallengeResponseAuthentication no
KbdInteractiveAuthentication no
UsePAM yes
2. Exija claves Ed25519 o claves de hardware FIDO2
Las claves RSA 2048 estándar están en desuso en los estándares criptográficos modernos. Adopte la criptografía moderna de curvas de Edwards (Ed25519) o tokens de hardware FIDO2 (Yubikey):
bash
ssh-keygen -t ed25519-sk -O resident -C "production-admin@nodexvps"
3. Refuerce los parámetros de red del kernel con sysctl
Evite la suplantación de IP, descarte los paquetes SYN no válidos e ignore las solicitudes ICMP de difusión ajustando /etc/sysctl.d/99-security.conf:
bash
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
Aplique los cambios al instante con sudo sysctl --system.
4. Active el cortafuegos cloud de NodexVPS
Combine UFW/nftables en el propio servidor con las reglas del cortafuegos perimetral fuera de banda de NodexVPS para descartar el tráfico malicioso antes de que consuma un solo ciclo de CPU en su interfaz de red virtual.