---
title: "Защита Linux-сервера в первый час: чек-лист"
description: "Чек-лист защиты Linux-сервера в первый час: автообновления, пользователь с sudo, вход по SSH только по ключу, файрвол, fail2ban, резервные копии, 2FA, мониторинг и реагирование на взлом."
url: "https://powerdedi.com/docs/secure-your-server"
last_updated: "2026-09-25"
publisher: "PowerDedi (https://powerdedi.com)"
---

# Защитите сервер в первый же час

Чек-лист на первый час: автоматические обновления, SSH только по ключам, файрвол, защита от перебора паролей, резервные копии и 2FA.

Обновлено 25 сентября 2026 г. · 4 мин чтения · 10 разделов

### Все руководства

Фильтр руководств

### Начало работы

- [Начало работы с выделенным сервером](https://powerdedi.com/ru/docs/getting-started)

### Управление сервером

- [Работа с консолью IPMI/KVM](https://powerdedi.com/ru/docs/ipmi-kvm-console)
- [Переустановка операционной системы](https://powerdedi.com/ru/docs/reinstall-os)
- [Восстановление сервера в режиме rescue](https://powerdedi.com/ru/docs/rescue-mode)
- [Мониторинг и восстановление программного RAID](https://powerdedi.com/ru/docs/software-raid)

### Сеть

- [Настройка IPv6 на сервере](https://powerdedi.com/ru/docs/ipv6-configuration)
- [Проверка скорости сети сервера](https://powerdedi.com/ru/docs/network-speed-test)
- [Настройка обратного DNS (PTR-записи)](https://powerdedi.com/ru/docs/reverse-dns)

### Оплата

- [Оплата криптовалютой](https://powerdedi.com/ru/docs/pay-with-crypto)

### Безопасность

- [Защитите сервер в первый же час](https://powerdedi.com/ru/docs/secure-your-server)
- [Создание и использование SSH-ключей](https://powerdedi.com/ru/docs/ssh-keys)

Автоматические сканеры начинают зондировать новый сервер уже через несколько минут после его подключения к сети. В этом чек-листе собрано самое необходимое на первый час. Вам понадобится root-доступ по SSH с установленным ключом; см. [Создание и использование SSH-ключей](https://powerdedi.com/ru/docs/ssh-keys). Мы не администрируем вашу операционную систему, поэтому эти шаги выполняете вы сами.

> Пока меняете настройки SSH или межсетевого экрана, держите одну SSH-сессию открытой и проверяйте каждое изменение из второй. Если вы всё же заблокируете себе доступ, [консоль](https://powerdedi.com/ru/docs/ipmi-kvm-console) по-прежнему будет работать.

## Автоматическая установка обновлений

```bash
# Debian, Ubuntu
sudo apt update && sudo apt full-upgrade
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

# AlmaLinux, Rocky Linux
sudo dnf upgrade
sudo dnf install dnf-automatic
sudo systemctl enable --now dnf-automatic-install.timer
```

В Debian и Ubuntu пакет unattended-upgrades по умолчанию устанавливает обновления безопасности. Новое ядро начинает работать только после перезагрузки, поэтому регулярно планируйте перезагрузку.

## Работа от имени пользователя с sudo

```bash
sudo adduser alice && sudo usermod -aG sudo alice          # Debian, Ubuntu
sudo useradd -m -G wheel alice && sudo passwd alice        # AlmaLinux, Rocky Linux
sudo install -d -m 700 -o alice -g alice /home/alice/.ssh
sudo install -m 600 -o alice -g alice /root/.ssh/authorized_keys /home/alice/.ssh/
```

Задайте пользователю надёжный пароль: его запрашивает sudo, и он нужен для входа через консоль. Прежде чем продолжить, убедитесь, что `ssh alice@203.0.113.10` и `sudo -v` работают.

## Вход по SSH только по ключам

Создайте `/etc/ssh/sshd_config.d/00-hardening.conf`:

```ini
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin prohibit-password
```

Для каждого параметра sshd использует первое прочитанное значение, поэтому файл с именем `00-…` имеет приоритет над файлами, которые читаются позже, например `50-cloud-init.conf`. Проверьте конфигурацию, примените её (reload) и посмотрите действующие значения:

```bash
sudo sshd -t && sudo systemctl reload ssh      # Debian, Ubuntu
sudo sshd -t && sudo systemctl reload sshd     # AlmaLinux, Rocky Linux
sudo sshd -T | grep -Ei 'passwordauth|kbdinteractive|permitrootlogin'
```

Когда пользователь с sudo заработает, можно задать `PermitRootLogin no`. В FreeBSD внесите те же изменения в `/etc/ssh/sshd_config` и выполните `service sshd reload`.

## Включение межсетевого экрана

Сначала посмотрите командой `sudo ss -tulpn`, какие службы ожидают подключений: всё, что привязано к `0.0.0.0` или `[::]`, доступно из интернета, если его не блокирует межсетевой экран. В Debian следующий набор правил в `/etc/nftables.conf` пропускает SSH, loopback, ICMP и ответы на ваши собственные соединения, а всё остальное отбрасывает:

```text
#!/usr/sbin/nft -f
flush ruleset

table inet filter {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ct state invalid drop
        iif "lo" accept
        meta l4proto { icmp, ipv6-icmp } accept
        tcp dport 22 accept
    }
    chain forward {
        type filter hook forward priority filter; policy drop;
    }
}
```

```bash
sudo nft -c -f /etc/nftables.conf     # check syntax
sudo nft -f /etc/nftables.conf        # load now
sudo systemctl enable nftables        # load at boot
```

Для каждой службы, которую вы открываете наружу, добавьте правило вроде `tcp dport { 80, 443 } accept`. Не закрывайте ICMP: без ICMPv6 не работает IPv6.

> `flush ruleset` удаляет все существующие правила, в том числе созданные Docker, libvirt или межсетевым экраном Proxmox VE. На таких хостах используйте вместо этого их собственные средства управления межсетевым экраном.

В Ubuntu проще воспользоваться ufw: `sudo ufw allow OpenSSH`, затем `sudo ufw enable`. В AlmaLinux и Rocky Linux обычно уже активен firewalld, и SSH в нём разрешён. Просмотрите его настройки командой `sudo firewall-cmd --list-all`, добавьте службы с помощью `sudo firewall-cmd --permanent --add-service=https`, удалите ненужные, например `cockpit`, с помощью `--remove-service`, а затем выполните `sudo firewall-cmd --reload`.

## Ограничение перебора паролей

Когда вход по паролю отключён, перебор не может увенчаться успехом, но засоряет логи. fail2ban блокирует адреса после повторяющихся неудачных попыток входа. Установите его командой `sudo apt install fail2ban python3-systemd`, затем создайте `/etc/fail2ban/jail.local`:

```ini
[sshd]
enabled = true
backend = systemd
maxretry = 5
bantime = 1h
```

Перезапустите его командой `sudo systemctl restart fail2ban` и проверьте состояние командой `sudo fail2ban-client status sshd`. В AlmaLinux и Rocky Linux fail2ban устанавливается из EPEL: выполните `sudo dnf install epel-release`, затем `sudo dnf install fail2ban`. Более лёгкая альтернатива — sshguard.

## Синхронизация времени

Логи, TLS-сертификаты и коды двухфакторной аутентификации зависят от точного времени. Команда `timedatectl` должна выводить `System clock synchronized: yes`. Если это не так, установите пакет `chrony` и включите его службу.

## Резервное копирование данных

Мы не делаем резервных копий ваших данных, а RAID — не резервная копия: он не защищает от удаления, программ-вымогателей или компрометации системы. Следуйте правилу 3-2-1: три копии данных на двух разных типах носителей, причём одна копия хранится вне основной площадки, например на сервере в другой локации. Такие инструменты, как restic и BorgBackup, шифруют данные и выполняют дедупликацию. Регулярно проверяйте восстановление из резервной копии.

## Защита аккаунта в личном кабинете

Любой, кто может войти в ваш личный кабинет, может переустановить сервер, открыть его консоль или загрузить его в режим восстановления. Включите двухфакторную аутентификацию (TOTP) в разделе **Аккаунт → Безопасность** и используйте пароль, который больше нигде не применяете.

## Мониторинг сервера

Настройте внешнюю проверку доступности (ping или HTTP), которая выполняется за пределами нашей сети, оповещения о заполнении дисков и нагрузке, а также оповещения RAID и SMART, описанные в статье [Мониторинг и восстановление программного RAID](https://powerdedi.com/ru/docs/software-raid). Сетевые инциденты публикуются на нашей [странице статуса](https://powerdedi.com/ru/status).

## Если сервер взломан

1. Остановите ущерб. Если сервер атакует других, выключите его или загрузите в [режим восстановления](https://powerdedi.com/ru/docs/rescue-mode), который запускает чистую систему по сети.
2. Не доверяйте установленной системе. Из режима восстановления скопируйте только нужные данные — не программы и не скрипты, — а также логи, если хотите провести расследование.
3. [Переустановите операционную систему](https://powerdedi.com/ru/docs/reinstall-os). Очистка на месте никогда не бывает надёжной.
4. Замените все секреты, которые хранились на сервере или использовались для доступа к нему: SSH-ключи, пароли, API-токены и учётные данные баз данных.
5. Восстановите данные из резервной копии, сделанной до взлома, устраните уязвимость, которой воспользовался злоумышленник, и перед возвращением сервера в работу снова пройдите этот чек-лист.

Получив жалобу на нарушение (abuse) в отношении вашего сервера, мы уведомляем вас и даём 24 часа на устранение проблемы; активные атаки пресекаются немедленно с помощью нулевой маршрутизации (null route) или приостановки обслуживания. Подробности — в [Правилах допустимого использования](https://powerdedi.com/ru/legal/acceptable-use).

[← Назад **Оплата криптовалютой**](https://powerdedi.com/ru/docs/pay-with-crypto) [Далее → **Создание и использование SSH-ключей**](https://powerdedi.com/ru/docs/ssh-keys)

**Всё ещё не получается?**

Клиенты с активным сервером могут открыть тикет в поддержку: опишите, что вы уже пробовали, и инженер возьмётся за решение — обычно в течение нескольких часов.

[Создать тикет](https://powerdedi.com/ru/account/support)

## Похожие руководства

[Все руководства](https://powerdedi.com/ru/docs)

[Безопасность](https://powerdedi.com/ru/docs/category/security)

Обновлено 25 сентября 2026 г.

### [Создание и использование SSH-ключей](https://powerdedi.com/ru/docs/ssh-keys)

Создайте ключ Ed25519 в любой ОС, добавьте его в личный кабинет, установите на серверы и упростите вход.

3 мин чтения

[Начало работы](https://powerdedi.com/ru/docs/category/getting-started)

Обновлено 26 сентября 2026 г.

### [Начало работы с выделенным сервером](https://powerdedi.com/ru/docs/getting-started)

От заказа до первого входа по SSH: выберите сервер, оплатите криптовалютой, подключитесь и пройдите чек-лист первых десяти минут.

4 мин чтения

[Управление сервером](https://powerdedi.com/ru/docs/category/server-management)

Обновлено 25 сентября 2026 г.

### [Работа с консолью IPMI/KVM](https://powerdedi.com/ru/docs/ipmi-kvm-console)

Смотрите экран сервера в браузере, управляйте питанием, монтируйте ISO и заходите в BIOS — даже если ОС не загружается.

4 мин чтения

---

PowerDedi — Dedicated servers with 10 Gbps unmetered, paid in crypto. Page: https://powerdedi.com/docs/secure-your-server. Index of the site for AI assistants: https://powerdedi.com/llms.txt