Du sikrer en Linux VPS med root-adgang ved at oprette en separat administratorbruger, bruge SSH-nøgler, begrænse netværksadgangen med en firewall og holde systemet opdateret. Deaktivér først direkte root-login, når den nye adgang er testet, og sørg for eksterne sikkerhedskopier, som du kan gendanne. Her får du rækkefølgen og kommandoerne til en sikker grundopsætning.

Hvordan opretter du en sikker administratorbruger på din Linux VPS?

Opret en personlig bruger med sudo-rettigheder, og brug kun root til den første opsætning eller nødvendig fejlfinding. Så kræver administrative handlinger et bevidst valg frem for at være standard. Eksemplerne her passer til Ubuntu 24.04 og Debian 12; andre Linux-distributioner kan bruge andre pakkenavne, brugergrupper og tjenester.

Før du ændrer adgang eller netværk, skal du afklare, hvordan du får adgang, hvis SSH holder op med at virke. Undersøg udbyderens muligheder for konsol eller redningstilstand. Behold den oprindelige SSH-session åben gennem hele opsætningen.

Opret brugeren fra din første root-session

apt update
apt install sudo openssh-server ufw
adduser drift
usermod -aG sudo drift

Brug et stærkt, unikt kodeord til kontoen. Det skal fortsat kunne bruges til sudo, selv om du senere slår SSH-login med kodeord fra. Navnet drift er et eksempel; giv helst hver administrator sin egen konto.

Hos IDHosting får du fuld root-adgang på en VPS. Det giver kontrol over systemet, men betyder også, at du selv skal tage stilling til rettigheder, opdateringer og adgang til de tjenester, du installerer.

Tip: Kør ikke hjemmesider, spilservere eller andre applikationer som root. Brug separate tjenestebrugere med adgang til netop de filer og mapper, de behøver.

Hvordan sikrer du SSH uden at låse dig selv ude?

Brug en SSH-nøgle med adgangssætning, test login med din nye bruger, og kontrollér sudo, før du deaktiverer root-login og kodeordslogin. Behold den eksisterende session åben under ændringen. Den afgørende kontrol er en helt ny SSH-forbindelse; en forbindelse, der allerede er åben, beviser ikke, at nye login virker.

Opret og overfør din SSH-nøgle

Kør følgende på din egen computer med OpenSSH, ikke på serveren. Har du allerede en passende nøgle, skal du ikke overskrive den. Erstat SERVER_IP med serverens IP-adresse.

ssh-keygen -t ed25519
ssh-copy-id drift@SERVER_IP
ssh drift@SERVER_IP

Vælg en adgangssætning, og behold den private nøgle på din egen computer. Kontrollér serverens værtsnøglefingeraftryk gennem en betroet kanal ved første forbindelse. ssh-copy-id findes typisk på Linux og macOS; på Windows kan du kopiere den offentlige nøgle til brugerens ~/.ssh/authorized_keys.

Test derefter på serveren:

sudo whoami

Svaret skal være root. Hvis testen fejler, skal du rette brugerens rettigheder, før du fortsætter.

Begræns SSH-login og kontrollér indstillingerne

På de nævnte systemer kan du oprette /etc/ssh/sshd_config.d/00-local-hardening.conf med sudo og indsætte:

PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no

SSH bruger normalt den første fundne værdi for en indstilling. Eksisterende opsætning og Match-blokke kan påvirke resultatet, så kontrollér både syntaks og de effektive indstillinger:

sudo /usr/sbin/sshd -t
sudo /usr/sbin/sshd -T | grep -E 'permitrootlogin|pubkeyauthentication|passwordauthentication|kbdinteractiveauthentication'

Ved Match-blokke bør du også kontrollere resultatet med sshd -T -C og relevante forbindelsesoplysninger. Genindlæs først, når kontrollen er uden fejl:

sudo systemctl reload ssh

Åbn nu endnu en terminal og test nøglelogin samt sudo igen. Luk først den oprindelige session, når begge dele virker. At flytte SSH til en anden port kan reducere støj i loggen, men erstatter ikke nøglebaseret adgang.

Hvordan opsætter du en firewall på en Linux-server?

Opsæt firewallen til at afvise nye indgående forbindelser som standard, og åbn kun de porte, dine tjenester faktisk bruger. Tillad SSH, før du aktiverer reglerne, og test bagefter fra en ny forbindelse. På Ubuntu og Debian er UFW en overskuelig løsning til en almindelig server uden kompliceret netværksopsætning.

Eksemplet forudsætter SSH på standardporten 22. Bruger du en anden port, skal du erstatte 22 med den faktiske port, før du aktiverer firewallen:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

Kontrollér, at IPV6=yes er sat i /etc/default/ufw, hvis serveren har IPv6. Ellers risikerer du at beskytte IPv4 og overse en anden vej ind.

Til en offentlig webserver åbner du normalt også:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

• Lad databaser lytte lokalt eller på et afgrænset privat netværk.
• Begræns administrationspaneler til kendte IP-adresser eller en VPN, når det er muligt.
• Åbn kun nødvendige TCP- og UDP-porte til spilservere.
• Kontrollér også eventuelle firewallregler hos udbyderen.

Docker og andre containerplatforme kan oprette regler, som ændrer, hvordan trafikken passerer UFW. Kontrollér derfor eksponerede containerporte særskilt. Se også lytteporte med sudo ss -tulpn, og test tilgængeligheden fra en anden maskine.

IDHosting har DDoS-beskyttelse på hele netværket. Den erstatter ikke serverens firewall eller sikring af applikationer: en sårbar tjeneste kan stadig misbruges gennem en port, du med vilje har åbnet.

Hvordan holder du Linux og installerede tjenester opdateret?

Installér sikkerhedsopdateringer løbende, og sørg for, at nødvendige genstarter faktisk bliver gennemført. Automatiske sikkerhedsopdateringer er en god grundbeskyttelse, men de dækker ikke nødvendigvis containere, manuelt installerede programmer eller WordPress-plugins. Kombinér derfor systemopdateringer med en fast rutine for kontrol af applikationer, driftsfejl og ledig diskplads på serveren.

Kør først en almindelig opdatering, og gennemgå eventuelle spørgsmål fra pakkehåndteringen:

sudo apt update
sudo apt upgrade
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Aktivér automatiske opdateringer i dialogen. Kontrollér derefter tilladte pakkekilder i /etc/apt/apt.conf.d/50unattended-upgrades; opsætningen kan variere mellem distributioner og serverimages. Du kan afprøve konfigurationen uden at installere opdateringer:

sudo unattended-upgrade --dry-run --debug

Planlæg et servicevindue til genstarter. På Ubuntu kan filen /var/run/reboot-required indikere et genstartsbehov, men fraværet af filen er ikke en universel garanti for, at alle tjenester bruger opdateret kode.

• Følg fejl i systemloggen med sudo journalctl -p err -b.
• Kontrollér SSH-hændelser med sudo journalctl -u ssh.
• Overvåg diskplads, certifikatudløb og tilgængelighed.
• Fjern programmer og tjenester, du ikke længere bruger.

Gem også kritiske alarmer uden for VPS’en. En alarm, som kun ligger på en utilgængelig server, hjælper dig ikke, når driften stopper.

Hvordan laver du sikkerhedskopier, der kan gendannes?

Tag automatiske sikkerhedskopier til et separat system, behold flere versioner, og afprøv regelmæssigt en gendannelse. Kopier på samme VPS beskytter ikke mod tab af hele serveren. For hjemmesider og webshops skal du både have filer, database og nødvendig konfiguration, så indholdet kan genskabes som en sammenhængende installation.

Vælg hyppighed efter, hvor meget arbejde eller hvor mange ordrer du kan tåle at miste. En daglig kopi kan passe til en sjældent ændret hjemmeside, mens en aktiv webshop kan kræve væsentligt hyppigere databasekopier.

1. Notér hvilke data, konfigurationer og hemmeligheder der skal gendannes.
2. Brug et backupværktøj med kryptering, versionshistorik og logning.
3. Tag databasedumps eller brug databasens understøttede backupmetode.
4. Opbevar kopier uden for VPS’en med særskilte adgangsoplysninger.
5. Gendan til et isoleret testmiljø, og kontrollér data og funktioner.

En ukritisk filkopi af en database, mens den skriver, er ikke nødvendigvis konsistent. Snapshots kan være et supplement, men deres egenskaber og placering afgør, hvad de beskytter imod. Betragt dem ikke automatisk som en selvstændig backup.

Begræns om muligt serverens mulighed for at slette historiske kopier. Dokumentér også, hvordan du skaffer nøgler og adgangsoplysninger, hvis den oprindelige VPS er væk.

Hvilke spørgsmål opstår ofte om sikkerhed på en Linux-VPS?

En sikker grundopsætning kræver også beslutninger om daglig drift: hvem der har adgang, hvordan mistænkelige hændelser håndteres, og hvilke begrænsninger ekstra sikkerhedsværktøjer har. Svarene her hjælper dig med at undgå almindelige misforståelser, men de erstatter ikke løbende kontrol af serverens faktiske konfiguration og de programmer, du kører.

Er Fail2ban nødvendigt med SSH-nøgler?

Fail2ban kan begrænse gentagne loginforsøg og reducere støj. Med korrekt nøglebaseret SSH og deaktiveret kodeordslogin er det et supplement, ikke en erstatning for den grundlæggende adgangssikring.

Kan flere administratorer dele samme SSH-nøgle?

Det bør de ikke. Separate brugere og nøgler gør det lettere at fjerne én persons adgang og undersøge, hvem der har udført en handling.

Hvad gør du ved mistanke om et indbrud?

Begræns serverens netværksadgang, og bevar relevante logs og spor. Skift berørte adgangsoplysninger fra en ren enhed, og overvej geninstallation fra en kendt, ren kilde frem for blot at fjerne synlige tegn på angrebet.

Hvordan kommer du videre med en sikker VPS?

Gennemfør opsætningen i rækkefølgen bruger, SSH, firewall, opdateringer og backup, og test hvert trin, før du fortsætter. Skriv derefter en kort driftsplan med ansvar for alarmer, genstarter og gendannelsestest. Hvis ingen kan vedligeholde serveren, bør du vælge en løsning, hvor mere af driften er administreret.

Du kan se mulighederne for VPS Hosting hos IDHosting. Skal serveren primært drive en hjemmeside, hjælper guiden hvilken VPS der passer til en hjemmeside eller webshop dig med at afklare behovet, før du vælger ressourcer.