Contratar un VPS y dejarlo con la configuracion por defecto es como dejar la puerta de tu casa abierta. Los bots automatizados escanean rangos de IP constantemente buscando servidores sin proteger. Estos son los pasos esenciales para asegurar tu VPS justo despues de la instalacion.
1. Actualizar el sistema
Lo primero, siempre:
apt update && apt upgrade -y
Esto instala los parches de seguridad mas recientes. En un VPS nuevo puede haber semanas de actualizaciones pendientes.
2. Crear un usuario no root
Trabajar directamente como root es peligroso. Crea un usuario con privilegios sudo:
adduser tuusuario
usermod -aG sudo tuusuario
A partir de ahora, conectate con este usuario y usa sudo cuando necesites privilegios elevados.
3. Configurar SSH
Edita /etc/ssh/sshd_config y cambia estos valores:
PermitRootLogin no: desactiva el acceso directo como root.PasswordAuthentication no: exige claves SSH en lugar de contrasenas (primero configura tu clave publica).Port 2222(o cualquier puerto no estandar): reduce el ruido de bots que atacan el puerto 22.
Reinicia SSH despues de los cambios: systemctl restart sshd.
Configurar claves SSH
En tu ordenador local, genera un par de claves si no lo tienes:
ssh-keygen -t ed25519
Copia la clave publica al servidor:
ssh-copy-id -p 2222 tuusuario@tu.ip
4. Configurar el firewall (UFW)
UFW simplifica la gestion de iptables. Instala y configura:
apt install ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 2222/tcp (tu puerto SSH)
ufw enable
Anade puertos adicionales segun lo que alojes: 80 y 443 para web, 25565 para Minecraft, 30120 para FiveM, etc.
5. Instalar fail2ban
Fail2ban bloquea IPs que fallan repetidamente al intentar conectarse:
apt install fail2ban
La configuracion por defecto ya protege SSH. Para personalizarla, crea /etc/fail2ban/jail.local y ajusta los tiempos de bloqueo y el numero de intentos permitidos.
6. Actualizaciones automaticas
Configura actualizaciones automaticas de seguridad para no depender de acordarte:
apt install unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades
7. Deshabilitar servicios innecesarios
Revisa que servicios estan escuchando en puertos publicos:
ss -tlnp
Si ves servicios que no necesitas (como un servidor de correo preinstalado), desactivalos.
Lista de verificacion
- Sistema actualizado.
- Usuario no root creado con sudo.
- SSH con clave publica, root desactivado, puerto cambiado.
- Firewall activo, solo puertos necesarios abiertos.
- Fail2ban instalado y activo.
- Actualizaciones automaticas configuradas.
Estos pasos no te hacen invulnerable, pero eliminan la gran mayoria de ataques automatizados que afectan a los VPS.
