SSH és la porta principal del teu servidor, i a Internet les portes es proven milers de vegades al dia. Només cal aixecar una màquina nova i mirar els registres a les poques hores: veuràs intents d’accés des de mig món provant usuaris comuns i contrasenyes de diccionari. No és personal, és automàtic.
La bona notícia és que tres mesures eliminen la major part del risc, i cap és complicada.
Primera: claus en lloc de contrasenyes
Una clau SSH és un parell de fitxers: un públic que viu al servidor i un privat que no surt mai del teu ordinador. L’avantatge no és només la longitud, és que el secret no viatja: no hi ha res que un atacant pugui endevinar per força bruta.
Genera el teu parell amb ssh-keygen -t ed25519, copia la pública al servidor, comprova que entres amb ella, i només aleshores desactiva l’autenticació per contrasenya. Aquest ordre importa: desactivar abans de comprovar és la manera més ràpida de quedar-te fora de la teva pròpia màquina.
Si mantens contrasenyes, fes-ho bé
De vegades la contrasenya és necessària, per exemple perquè has de poder entrar des d’una consola web sense la teva clau. En aquest cas, dues regles: que sigui llarga, de vint caràcters o més, i que no porti símbols exòtics. Les consoles remotes tradueixen els caràcters segons la distribució de teclat del client, així que un símbol que requereix tecla majúscules pot arribar al servidor convertit en un altre. És una font de frustració clàssica: escrius la contrasenya correcta i el servidor rep una altra.
Segona: un port alternatiu
Canviar el port 22 per un altre no és seguretat real, i qui et digui el contrari està exagerant. Un escaneig de ports troba el teu SSH en qualsevol port en pocs segons.
Però sí que té dos beneficis concrets. El primer és que redueix dràsticament el soroll: els bots automàtics que escombren Internet només proven el 22, així que els teus registres passen de milers d’intents diaris a gairebé cap, i quan aparegui un real el veuràs.
El segon és més pràctic del que sembla: algunes xarxes corporatives i alguns operadors de trànsit filtren el port 22 per política. Tenir un port alternatiu obert et dona un camí quan l’estàndard no arriba. La nostra recomanació és mantenir tots dos.
Tercera: expulsar qui insisteix
Instal·la fail2ban o un equivalent. Vigila els registres, i quan una adreça falla diverses vegades seguides, la bloqueja temporalment al tallafoc. És una mesura barata que talla en sec els atacs de força bruta lents, aquells que proven tres contrasenyes per hora per no cridar l’atenció.
El detall que gairebé ningú revisa
Tot l’anterior és el que surt a qualsevol guia. Això és el que s’oblida: revisa quins usuaris poden entrar de veritat.
Cada compte amb accés SSH és una porta més. El compte que vas crear per a un desenvolupador que ja no treballa amb tu, l’usuari d’una aplicació que ja no fas servir, la clau pública d’un portàtil que vas perdre. Un sshd -T et mostra la política efectiva del servidor, i revisar els fitxers de claus autoritzades de cada usuari porta cinc minuts.
Menys usuaris, menys superfície. I desactiva l’accés directe de root amb contrasenya: entra amb el teu usuari i escala amb sudo, així queda rastre de qui va fer què.
Un avís sobre les proves
Abans de recarregar la configuració de SSH, executa sempre sshd -t per validar la sintaxi. I si treballes en remot, obre una segona sessió abans d’aplicar canvis: si alguna cosa surt mal, aquesta sessió oberta és el teu salvavides mentre ho arregles.
Com ho lliurem nosaltres
Els nostres VPS a Andorra es lliuren amb accés root, contrasenyes alfanumèriques que no es trenquen a les consoles web, i dos ports SSH configurats de fàbrica precisament per l’assumpte del filtratge en trànsit. I com que qualsevol enduriment surt mal alguna vegada, l’addon de còpies de seguretat et deixa tornar enrere en minuts.