SSH і hardeningОновлено: 02.11.2026

Netcup SSH: ключі, порт і Fail2ban

Root-доступ потужний. Цей посібник показує порядок захисту SSH без блокування власного доступу.

1. Ключ замість пароля

Створіть локально ключ ED25519 і скопіюйте публічний ключ на сервер. Потім вимкніть вхід за паролем. Перевірте вхід ключем у другій сесії, перш ніж закрити стару.

ssh-keygen -t ed25519 -a 100 -C "[email protected]"
ssh-copy-id -i ~/.ssh/id_ed25519.pub [email protected]

# На сервері:
sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin prohibit-password/' /etc/ssh/sshd_config
sudo sshd -t && sudo systemctl reload ssh

Примітка: Відкрийте другу SSH-сесію й перевірте ключ, перш ніж закрити першу. Інакше ризикуєте блокуванням.

2. Зміна порту

Інший порт зменшує автоматичні скани, але не є захистом. Спочатку відкрийте новий порт у SCP і firewall хоста, потім змініть sshd_config і перезапустіть сервіс.

# У /etc/ssh/sshd_config:
Port 2222

sudo ufw allow 2222/tcp
sudo sshd -t && sudo systemctl restart ssh
ssh -p 2222 [email protected]

Примітка: Спочатку firewall, потім sshd. У зворотному порядку новий порт буде заблокований.

3. Fail2ban

Fail2ban блокує IP після повторних невдалих спроб. Для SSH достатньо jail на auth.log; перевірте статус після старту.

sudo apt install fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

4. Уникнення блокування

Якщо заблокуєте доступ, використайте консоль SCP або rescue system. Тримайте копію sshd_config і другий шлях доступу; вимикайте пароль лише після тесту ключа.

Перевірте консоль SCP і rescue system до того, як вони знадобляться.
Скопіюйте sshd_config перед змінами.
Перевірте вхід ключем у другій сесії.
Root лише з ключем, не з паролем.

Офіційні джерела

Перший доступ до сервераПароль, консоль і перший вхід.Rescue systemДоступ після блокування.Firewall SCPВідкриття портів.Troubleshooting входуОфіційна діагностика.

Відповідні тарифи

RS 1000 G12.5

Хіт

Root-сервери • G12.5

2 місяці безкоштовно

21,73 EUR/ міс.з 19% ПДВ12 міс.

4 виділені ядра (AMD EPYC 9645) · 8 GB RAM · 128 GB NVMe · 2.5 Gbit/s

GB6: 2 290/7 559 · Steal: 0,0 %

Завантаження актуального коду…

VPS 1000 G12.5

Хіт

VPS • G12.5

1 місяць безкоштовно

14,50 EUR/ міс.з 19% ПДВ12 міс.

4 vCore (x86) · 8 GB RAM · 128 GB SSD · 2.5 Gbit/s

GB6: 1 720/4 650 · Steal: 1,2 %

Завантаження актуального коду…

Часті питання

Який тип SSH-ключа обрати?

ED25519 — хороший вибір для нових ключів. RSA 4096 досі працює, але більший і повільніший. Важливий сильний пароль ключа.

Чому не можу підключитися після зміни порту?

Зазвичай не відкрито порт у SCP або firewall хоста. Відкрийте його спочатку, виконайте sshd -t і перезапустіть сервіс.

Джерело

Як відновити доступ після блокування?

Використайте консоль SCP або rescue system, щоб виправити sshd_config. Перевірте доступ, перш ніж закрити стару сесію.

Джерело