بعد از خرید VPS چه کنیم؟ چک‌لیست امن‌سازی سرور Ubuntu

یک VPS تازه تحویل‌گرفته‌شده برای استفاده تولیدی آماده نیست. حتی اگر تصویر سیستم‌عامل به‌روز باشد، باید دسترسی‌ها، فایروال، به‌روزرسانی و بازیابی را متناسب با سرویس خود تنظیم کنید. این راهنما برای Ubuntu Server نوشته شده و فرض می‌کند اکنون با کاربر root وارد شده‌اید. پیش از بستن نشست فعلی، ورود کاربر جدید را در یک پنجره دوم آزمایش کنید تا خودتان را از سرور بیرون نیندازید.

۱. به‌روزرسانی اولیه سیستم

فهرست بسته‌ها را تازه و ارتقاهای موجود را نصب کنید:

apt update
apt upgrade -y
reboot

پس از reboot دوباره متصل شوید. اگر ارائه‌دهنده شما کنسول اضطراری دارد، محل آن را همین ابتدا پیدا کنید.

۲. ساخت کاربر مدیریتی غیر root

adduser deploy
usermod -aG sudo deploy

به‌جای deploy نام دلخواه و غیرقابل‌حدس خودتان را قرار دهید. استفاده روزمره از کاربر محدود و اجرای فرمان‌های مدیریتی با sudo، دامنه خطای انسانی را کمتر می‌کند.

۳. ورود با کلید SSH

روی رایانه شخصی خود یک کلید جدید بسازید. اگر از قبل کلید امن دارید، این مرحله را تکرار نکنید:

ssh-keygen -t ed25519 -a 100

سپس کلید عمومی را روی سرور کپی کنید:

ssh-copy-id deploy@SERVER_IP

در ویندوزی که ssh-copy-id ندارد، محتوای فایل ~/.ssh/id_ed25519.pub را با دقت در /home/deploy/.ssh/authorized_keys قرار دهید و مجوزها را تنظیم کنید:

chmod 700 /home/deploy/.ssh
chmod 600 /home/deploy/.ssh/authorized_keys
chown -R deploy:deploy /home/deploy/.ssh

۴. سخت‌گیری تنظیمات SSH بدون قطع دسترسی

ابتدا با کاربر جدید در پنجره دوم وارد شوید. سپس از فایل تنظیمات نسخه پشتیبان بگیرید و آن را ویرایش کنید:

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup
sudo nano /etc/ssh/sshd_config

پس از اطمینان از کارکرد کلید، این گزینه‌ها را تنظیم کنید:

PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no

پیش از reload حتماً پیکربندی را اعتبارسنجی کنید:

sudo sshd -t
sudo systemctl reload ssh

اگر sshd -t خطا داد، سرویس را reload نکنید و همان خط را اصلاح کنید.

امنیت سرور یک اقدام یک‌باره نیست؛ دسترسی، کاهش سطح حمله، پایش و بازیابی باید هم‌زمان طراحی شوند.

۵. فعال‌کردن فایروال UFW

اول دسترسی SSH را مجاز کنید و بعد فایروال را روشن کنید:

sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

اگر وب‌سرور نصب کرده‌اید، پورت‌های وب را هم باز کنید:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

پورت دیتابیس را عمومی نکنید مگر معماری شما واقعاً به آن نیاز داشته باشد؛ در آن صورت دسترسی را به IP مشخص محدود کنید.

۶. فعال‌بودن به‌روزرسانی امنیتی خودکار

مستندات رسمی Ubuntu می‌گوید بسته unattended-upgrades معمولاً به‌صورت پیش‌فرض نصب و روزانه اجرا می‌شود. وضعیت را بررسی و در صورت نیاز فعال کنید:

sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades
systemctl status unattended-upgrades --no-pager

گزارش‌ها در /var/log/unattended-upgrades قرار می‌گیرند. به‌روزرسانی خودکار جای آزمون نسخه جدید برنامه و برنامه‌ریزی reboot را نمی‌گیرد.

۷. سرویس‌های باز و وضعیت سیستم را بررسی کنید

sudo ss -tulpn
systemctl --failed
df -h
free -h

هر پورت باید دلیل مشخصی داشته باشد. سرویس‌های غیرضروری را غیرفعال کنید و برای فضای دیسک، RAM، load و خطاهای سرویس هشدار بسازید. تغییر پورت SSH به‌تنهایی کنترل امنیتی مهمی نیست؛ کلید امن، حذف ورود root و محدودسازی شبکه اثر بیشتری دارند.

۸. بکاپ و آزمون بازیابی

حداقل از فایل‌های برنامه، تنظیمات اختصاصی و پایگاه‌داده نسخه پشتیبان بگیرید و یک نسخه را خارج از همان VPS نگه دارید. اسنپ‌شات ارائه‌دهنده برای بازگشت سریع مفید است، اما تنها بکاپ شما نباشد. زمان بازیابی، رمزنگاری و دوره نگهداری را مستند و یک بازیابی آزمایشی انجام دهید.

چک‌لیست پایان کار

• ورود کاربر sudo با کلید SSH در یک نشست جدید موفق است.
• ورود root و رمز عبور SSH پس از آزمون کلید غیرفعال شده‌اند.
• UFW فقط پورت‌های ضروری را باز گذاشته است.
• به‌روزرسانی امنیتی، مانیتورینگ و هشدار فضای دیسک فعال‌اند.
• بکاپ خارج از سرور وجود دارد و بازیابی آن آزموده شده است.

اگر هنوز بین انواع سرویس مردد هستید، ابتدا مقایسه VPS با هاست اشتراکی و سرور اختصاصی را بخوانید. منابع این آموزش: پیشنهادهای امنیتی Ubuntu Server و راهنمای رسمی به‌روزرسانی خودکار.