Tutoriale · Articol Blog
Cum sa iti securizezi vps-ul
Lilith Roxanne
7 iulie 2026
Cum să îți securizezi VPS-ul: ghid pentru începători
Mulți oameni închiriază un VPS, instalează rapid ce au nevoie și trec mai departe, fără să se gândească prea mult la partea de securitate. Problema este că un server nou, lăsat cu setările implicite, este exact genul de țintă pe care roboții de scanare de pe internet o găsesc în câteva ore. De cele mai multe ori nu este vorba despre cineva care te vizează personal, ci despre un script automatizat care testează zilnic mii de servere, în căutarea parolelor slabe sau a serviciilor lăsate nesecurizate.
Vestea bună este că securizarea unui server nu cere ani de experiență. Majoritatea problemelor sunt prevenite printr-un set de obiceiuri simple și câteva setări tehnice. Acest ghid acoperă ambele niveluri. Mai întâi partea de bun simț, obiceiurile care contează indiferent de sistemul de operare folosit, apoi partea tehnică, separat pentru Linux (Debian, Ubuntu, AlmaLinux și Rocky Linux) și pentru Windows Server 2025, pentru că pașii diferă în funcție de platformă.
Partea 1: reguli de bun simț
Înainte să deschizi vreun fișier de configurare, sunt câteva obiceiuri care contează mai mult decât orice regulă de firewall.
Parole puternice și unice pentru fiecare cont
O parolă folosită deja la alt cont nu ar trebui refolosită și pentru server sau pentru panoul de hosting. Un manager de parole precum Bitwarden sau KeePass rezolvă problema, pentru că trebuie reținută o singură parolă master. Ideal, o parolă bună are cel puțin șaisprezece caractere, cu litere, cifre și simboluri amestecate.
Backup uri reale, nu doar teoretice
Un backup pe care nu l ai restaurat niciodată nu este cu adevărat un backup. Ideal ar fi ca datele și fișierele de configurare importante să fie copiate automat, cel puțin o parte din ele păstrată în alt loc decât pe server, iar din când în când merită încercată o restaurare de test, ca să existe certitudinea că totul funcționează atunci când chiar este nevoie.
Instalează strict ce folosești
Fiecare pachet, plugin sau serviciu în plus care rulează pe server este încă un lucru care ar putea ascunde o vulnerabilitate. Ce nu se folosește ar trebui eliminat sau oprit.
Evidența clară a celor care au acces
Merită ținută o evidență, fie și mentală, a tuturor persoanelor care au date de autentificare, chei SSH sau acces RDP la server. În momentul în care cineva nu mai are nevoie de acces, acesta ar trebui anulat chiar în ziua respectivă, nu peste o săptămână.
Atenție sporită la linkuri și atașamente
Pentru cei care își administrează serverul prin notificări pe email sau printr-un panou de control web, orice email neașteptat legat de resetarea parolei sau de autentificare merită tratat cu suspiciune. Phishingul rămâne una dintre cele mai frecvente metode prin care serverele ajung compromise, pentru simplul motiv că atacatorul cere parola direct, în loc să o ghicească.
Urmărirea consumului de resurse și a facturii
O creștere bruscă a traficului, a utilizării procesorului sau o factură neașteptat de mare pot fi printre primele semne că serverul a fost compromis și este folosit, fără știrea proprietarului, pentru minare de criptomonedă sau trimitere de spam.
Partea 2: principii de bază în securitate
Aceste idei se aplică indiferent de sistemul de operare folosit.
Principiul privilegiului minim. Fiecare utilizator și fiecare aplicație ar trebui să primească exact accesul de care are nevoie, nimic în plus. Un cont care are nevoie doar să citească fișiere nu ar trebui să poată și să scrie în ele.
Apărare pe mai multe niveluri. Nicio măsură luată singură nu este suficientă. Un firewall combinat cu chei SSH, fail2ban și actualizări constante este mult mai eficient decât oricare dintre ele luată separat.
Actualizări constante. Majoritatea atacurilor reușite exploatează vulnerabilități deja cunoscute, reparate cu luni în urmă. Actualizarea regulată a sistemului și a aplicațiilor închide exact aceste portițe.
Verificarea periodică a jurnalelor de sistem. Serverul păstrează un istoric al încercărilor de autentificare, al erorilor și al evenimentelor de sistem. Verificarea din când în când a acestor jurnale ajută la observarea unei probleme înainte ca aceasta să devină un dezastru.
Partea 3: securizarea serverelor Linux (Debian, Ubuntu, AlmaLinux, Rocky Linux)
Debian și Ubuntu folosesc managerul de pachete APT, în timp ce AlmaLinux și Rocky Linux, ambele construite pe bază de Red Hat Enterprise Linux, folosesc DNF. Comenzile diferă puțin, însă conceptele din spatele lor sunt identice pentru toate cele patru distribuții, iar pașii bazați pe DNF se aplică și majorității celorlalte distribuții din familia RHEL.
Pasul 1: actualizarea sistemului
Pe Debian sau Ubuntu:
bash
sudo apt update && sudo apt upgrade -yPe AlmaLinux sau Rocky Linux:
bash
sudo dnf update -yAcesta este primul lucru care merită făcut, și merită repetat periodic.
Pasul 2: crearea unui cont separat de root
Autentificarea directă ca root pentru activitățile de zi cu zi este riscantă, pentru că orice greșeală sau comandă compromisă rulează cu drepturi depline asupra sistemului. În loc de asta, se creează un cont separat.
Pe Debian sau Ubuntu:
bash
sudo adduser numeutilizator
sudo usermod -aG sudo numeutilizatorPe AlmaLinux sau Rocky Linux:
bash
sudo adduser numeutilizator
sudo passwd numeutilizator
sudo usermod -aG wheel numeutilizatorDe acum încolo, acest cont ar trebui folosit pentru autentificare, iar
sudo doar atunci când sunt necesare drepturi mai mari.Pasul 3: configurarea autentificării prin chei SSH
O parolă poate fi ghicită sau spartă prin încercări repetate. O cheie SSH este mult mai greu de spart. Pe calculatorul propriu, nu pe server, se generează o pereche de chei:
bash
ssh-keygen -t ed25519 -C "[email protected]"Apoi cheia publică se copiază pe server:
bash
ssh-copy-id numeutilizator@ip_serverMerită testată o autentificare cu cheia înainte de a continua la pasul următor.
Pasul 4: dezactivarea autentificării prin parolă și a accesului root prin SSH
Se deschide fișierul de configurare SSH:
bash
sudo nano /etc/ssh/sshd_configSe caută și se modifică următoarele linii:
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yesFișierul se salvează, apoi serviciul SSH se repornește. Pe Debian sau Ubuntu:
bash
sudo systemctl restart sshPe AlmaLinux sau Rocky Linux:
bash
sudo systemctl restart sshdSesiunea curentă ar trebui lăsată deschisă, iar autentificarea testată dintr un terminal nou, ca să nu existe riscul de a rămâne blocat afară dacă ceva a fost greșit configurat.
Pasul 5 (opțional): schimbarea portului implicit SSH
Mutarea portului de pe 22 pe unul mai puțin comun, de exemplu 2222, nu oprește un atacator hotărât, dar reduce mult zgomotul scanărilor automate care lovesc constant în orice server nou. În același fișier, se modifică:
Port 2222Pe AlmaLinux sau Rocky Linux, SELinux va bloca noul port dacă nu este anunțat în prealabil:
bash
sudo dnf install policycoreutils-python-utils -y
sudo semanage port -a -t ssh_port_t -p tcp 2222Indiferent de distribuție, noul port trebuie permis în firewall înainte de repornirea SSH, altfel accesul se poate pierde complet.
Pasul 6: configurarea unui firewall
Pe Debian sau Ubuntu, UFW este varianta cea mai simplă:
bash
sudo apt install ufw -y
sudo ufw allow OpenSSH
sudo ufw enableDacă portul SSH a fost schimbat, se permite numărul respectiv, de exemplu
sudo ufw allow 2222/tcp.Pe AlmaLinux sau Rocky Linux, firewalld vine inclus implicit:
bash
sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reloadDacă portul a fost schimbat, se adaugă direct:
sudo firewall-cmd --permanent --add-port=2222/tcp. Ideal ar trebui deschise doar porturile chiar necesare, de exemplu 80 și 443 pentru un site.Pasul 7: instalarea Fail2ban
Fail2ban urmărește jurnalele de sistem și blochează temporar adresele IP care greșesc repetat autentificarea.
Pe Debian sau Ubuntu:
bash
sudo apt install fail2ban -yPe AlmaLinux sau Rocky Linux este nevoie mai întâi de depozitul EPEL:
bash
sudo dnf install epel-release -y
sudo dnf install fail2ban -yApoi activarea se face la fel pe ambele:
bash
sudo systemctl enable --now fail2banPasul 8: activarea actualizărilor automate de securitate
Pe Debian sau Ubuntu:
bash
sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure --priority=low unattended-upgradesPe AlmaLinux sau Rocky Linux:
bash
sudo dnf install dnf-automatic -y
sudo systemctl enable --now dnf-automatic.timerImplicit, acest instrument doar descarcă actualizările, fără să le instaleze automat. În fișierul
/etc/dnf/automatic.conf, opțiunea apply_updates trebuie schimbată în yes dacă se dorește și instalarea automată.Pasul 9: verificarea și dezactivarea serviciilor nefolosite
Ce este activat în acest moment se vede cu:
bash
systemctl list-unit-files --state=enabledOrice serviciu nerecunoscut sau nefolosit poate fi dezactivat astfel:
bash
sudo systemctl disable --now nume_serviciuPartea 4: securizarea Windows Server 2025
Windows Server 2025 vine deja cu un nivel de bază mai ridicat decât versiunile anterioare. Credential Guard, care protejează datele de autentificare stocate împotriva anumitor metode de furt, este activat implicit pe hardware compatibil, iar sistemul de operare include acum și OpenSSH direct din instalare. Totuși, multe setări rămân în continuare la latitudinea administratorului.
Pasul 1: crearea unui nou cont de administrator și redenumirea sau dezactivarea celui implicit
Contul implicit de Administrator este cunoscut de toată lumea, ceea ce îl transformă într o țintă frecventă. Se deschide PowerShell ca administrator și se creează un cont nou:
powershell
New-LocalUser "adminnou" -Password (Read-Host -AsSecureString "Introdu parola")
Add-LocalGroupMember -Group "Administrators" -Member "adminnou"Contul original se redenumește sau se dezactivează:
powershell
Rename-LocalUser -Name "Administrator" -NewName "altnume"sau
powershell
Disable-LocalUser -Name "Administrator"Pasul 2: setarea unei politici de blocare a contului
Aceasta blochează un cont după un anumit număr de încercări eșuate, ceea ce încetinește atacurile prin încercare repetată. Se rulează
secpol.msc, apoi se merge la Account Policies, Account Lockout Policy, și se setează un prag de blocare de aproximativ cinci încercări.Pasul 3: OpenSSH inclus, o alternativă utilă la RDP
Pentru că Windows Server 2025 include acum suport nativ pentru serverul OpenSSH, serverul poate fi administrat prin SSH cu autentificare prin chei, exact ca pe Linux, în loc să se depindă strict de RDP. Se poate instala din Server Manager, la Add Roles and Features, sau direct din PowerShell:
powershell
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
Start-Service sshd
Set-Service -Name sshd -StartupType AutomaticInstalarea creează de obicei automat și regula de firewall corespunzătoare, dar merită verificat în Windows Defender Firewall că regula pentru serverul OpenSSH există și este activă.
Pasul 4: securizarea Remote Desktop, dacă este folosit în continuare
RDP este unul dintre cele mai atacate servicii de pe internet, așa că acest pas contează mult pentru cine îl ține activ.
Primul lucru este activarea Network Level Authentication. Se deschide System Properties, tab ul Remote, și se bifează opțiunea care permite conexiuni doar de la calculatoare ce rulează Remote Desktop cu Network Level Authentication.
Al doilea lucru este evitarea expunerii RDP direct pe internet, pe cât posibil. Un VPN, un bastion host sau Windows Admin Center sunt variante mai sigure de a ajunge la server, RDP rămânând accesibil doar din adrese de încredere, prin regulile de firewall. Dacă expunerea directă este totuși necesară, cel puțin adresele sursă permise ar trebui restricționate în Windows Defender Firewall with Advanced Security (
wf.msc), la regula de RDP pentru trafic de intrare.Pasul 5: configurarea Windows Firewall și eliminarea serviciilor nefolosite
Se deschide Windows Defender Firewall with Advanced Security (
wf.msc) și se trec în revistă regulile de trafic de intrare. Orice regulă nerecunoscută ar trebui blocată, permise rămânând doar porturile chiar necesare aplicațiilor instalate.Tot acum merită verificat ce rulează degeaba. Print Spooler și Remote Registry sunt două exemple clasice, activate implicit chiar și în Windows Server 2025, deși majoritatea configurațiilor de tip VPS nu au nevoie de ele, și ambele au un istoric lung de probleme de securitate. Dacă serverul nu funcționează ca server de imprimare, pot fi oprite astfel:
powershell
Stop-Service -Name Spooler
Set-Service -Name Spooler -StartupType Disabled
Stop-Service -Name RemoteRegistry
Set-Service -Name RemoteRegistry -StartupType DisabledPasul 6: menținerea Windows Update activ
Se merge la Settings, apoi Windows Update, și se confirmă că actualizările automate sunt activate. Windows Server 2025 aduce și hotpatching prin Azure Arc, care instalează multe actualizări de securitate fără o repornire completă. Pentru serverele conectate la Azure Arc, merită verificat dacă hotpatching este disponibil pentru abonamentul respectiv, pentru că reduce considerabil timpul de mentenanță.
Pasul 7: verificarea Windows Defender
Se deschide Windows Security și se confirmă că protecția în timp real este activă. Pentru un server de producție, Microsoft Defender for Endpoint oferă o vizibilitate mult mai bună asupra amenințărilor decât uneltele de bază incluse.
Pasul 8: activarea BitLocker, dacă securitatea fizică contează
Dacă hardware ul serverului ar putea fi accesat fizic de altcineva, de exemplu într un data center comun, BitLocker criptează discul astfel încât datele să nu poată fi citite fără cheia corespunzătoare. BitLocker nu este instalat implicit pe Windows Server, așa că această componentă trebuie adăugată întâi:
powershell
Install-WindowsFeature BitLocker -IncludeAllSubFeature -IncludeManagementToolsDupă repornire, activarea se face astfel:
powershell
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256Un cip TPM simplifică mult acest proces. Fără el, este nevoie de o configurare suplimentară prin Group Policy pentru a permite alt tip de protector.
Pasul 9: verificarea jurnalelor
Se deschide Event Viewer și se verifică din când în când jurnalul Security, în căutarea încercărilor repetate de autentificare eșuată, marcate ca Event ID 4625. Un număr mare al acestora venite de la aceeași adresă este un semn clar că cineva încearcă să ghicească parole.
Partea 5: o listă rapidă de verificare periodică
Securitatea nu este o configurare făcută o singură dată, ci o rutină. Cam o dată pe lună, merită verificate următoarele.
Existența unor actualizări noi și instalarea lor pe server.
Cine are acces în acest moment și eliminarea celor care nu ar mai trebui să îl aibă.
O trecere rapidă prin jurnalele de sistem, în căutarea a ceva neobișnuit.
Funcționarea în continuare a backup urilor și posibilitatea reală de restaurare din ele.
Regulile de firewall, pentru siguranța că nu a rămas deschis ceva ce nu ar trebui.
Gânduri finale
Nimic din toate acestea nu trebuie să fie perfect din prima zi. Este suficient un început cu elementele de bază, parole puternice, chei SSH sau un cont de administrator configurat corect, un firewall activ și actualizări constante, restul putând fi construit treptat. Un server care respectă măcar jumătate din acest ghid este deja cu mult înaintea nenumăratelor mașini rămase online fără nicio protecție reală.
Ți-a fost util articolul?
7 vizualizăriReacții protejate anti-spam
Înapoi la Blog
RHQ Network © 2026