كيف تؤمّن VPS جديداً بنظام Linux في 15 دقيقة

يبدأ أي VPS جديد بعنوان IP عام في تلقي محاولات تسجيل دخول آلية خلال دقائق. لا شيء من ذلك شخصي؛ فالروبوتات تفحص كل عنوان ببساطة. وبضع خطوات أساسية توقف معظمه تقريبًا. تفترض هذه القائمة خادمًا جديدًا بنظام Ubuntu 24.04 أو Debian 12/13 وتستغرق نحو خمس عشرة دقيقة.

1. حدّث كل شيء أولًا

apt update && apt full-upgrade -y
reboot

سجّل الدخول مجددًا بعد إعادة التشغيل. ابدأ دائمًا من نظام مُحدَّث بالكامل.

2. أنشئ مستخدمًا غير root

العمل بصلاحيات root طوال الوقت يجعل كل خطأ مطبعي خطيرًا. أنشئ مستخدمًا عاديًا بصلاحيات sudo:

adduser deploy
usermod -aG sudo deploy

3. أعدّ مفاتيح SSH

على حاسوبك، أنشئ زوج مفاتيح إن لم يكن لديك واحد، وانسخ النصف العام إلى الخادم:

ssh-keygen -t ed25519 -C "my-vps"
ssh-copy-id deploy@YOUR_SERVER_IP

افتح طرفية ثانية وتأكد من قدرتك على تسجيل الدخول بصفة deploy باستخدام المفتاح قبل المتابعة. لا تغلق جلستك الأصلية حتى تفعل ذلك.

4. عطّل الدخول بكلمة المرور وبحساب root

حرّر ملف إعدادات خدمة SSH:

sudo nano /etc/ssh/sshd_config.d/99-hardening.conf

ضع هذه الأسطر في الملف:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3

تحقق من الصياغة وأعد التحميل:

sudo sshd -t && sudo systemctl reload ssh

5. فعّل جدار الحماية

UFW أبسط خيار. اسمح بـ SSH أولًا، ثم شغّل جدار الحماية:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80,443/tcp   # only if you run a web server
sudo ufw enable
sudo ufw status verbose

افتح المنافذ فقط للخدمات التي تشغّلها فعلًا. وكل ما عداها يبقى مغلقًا افتراضيًا.

6. أضف fail2ban

يراقب Fail2ban السجلات ويحظر مؤقتًا العناوين التي تفشل باستمرار في تسجيل الدخول.

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

الإعدادات الافتراضية مناسبة لـ SSH. ولأنك عطّلت كلمات المرور أصلًا، فإن ذلك يقلل في الغالب ضجيج السجلات وهدر المعالج.

7. فعّل التحديثات الأمنية التلقائية

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

يثبّت هذا الإعداد الترقيعات الأمنية تلقائيًا. أعد التشغيل من حين لآخر لتحديثات النواة، أو دع الأداة تفعل ذلك في ساعة هادئة.

8. تحقق مما يستمع

sudo ss -tulpn

أي شيء يستمع على 0.0.0.0 ولم تتوقعه يستحق التحقيق. الخدمات المخصصة للاستخدام المحلي فقط (قواعد البيانات والذاكرة المؤقتة ولوحات الإدارة) يجب أن تستمع على 127.0.0.1.

9. مراقبة أساسية ونسخ احتياطية

• راقب السجلات بالأمر journalctl -u ssh --since today بين الحين والآخر.
• تحقق من الموارد بالأمرين htop وdf -h حتى لا يفاجئك قرص ممتلئ أو عملية خارجة عن السيطرة.
• خذ نسخًا احتياطية. التقط لقطة للخادم قبل التغييرات الكبيرة، واحتفظ بنسخة خارج الخادم من كل ما لا يمكنك إعادة إنشائه.

ماذا تفعل بعد ذلك

أصبح لديك الآن خادم أصعب اختراقًا بكثير من الإعداد الافتراضي. من هنا، أبقِ البرامج محدّثة، وشغّل كل خدمة بمستخدم مستقل غير مميّز، ولا تكشف إلا ما تحتاجه. وإذا أردت نفقًا خاصًا إلى الخادم، فإن دليلنا عن إعداد WireGuard خطوة تالية جيدة.