Tu VPS está en internet desde el primer minuto. Estos pasos la dejan al día y más difícil de atacar. Los comandos son para Debian y Ubuntu; en AlmaLinux, cambia apt por dnf.
1. Actualizar el sistema
apt update && apt upgrade -y
Si te pregunta algo con una pantalla azul, deja la opción que viene marcada y presiona Enter. Hazlo cada tanto, por ejemplo una vez al mes.
2. Instalar herramientas básicas
apt install -y htop nano curl wget unzip git
3. Ponerte una contraseña propia (opcional)
passwd
Escribe la nueva dos veces (no se ve al escribir). Desde ahí, la del panel ya no sirve: guárdala bien.
4. Entrar con llave en vez de contraseña (recomendado)
Una llave SSH es más segura que cualquier contraseña y no tienes que escribirla cada vez. En tu computadora (no en la VPS):
ssh-keygen -t ed25519
Presiona Enter a todo. Después copia la llave a la VPS:
-
Mac y Linux:
ssh-copy-id root@TU-IP -
Windows (PowerShell):
type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh root@TU-IP "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"
Prueba ssh root@TU-IP: ya no debería pedirte contraseña.
5. Firewall
Cuidado
Permite siempre el SSH (puerto 22) antes de activar el firewall. Si no, te quedas afuera y solo podrás entrar por la consola web.
En Debian y Ubuntu, con ufw:
apt install -y ufw
ufw allow 22/tcp
ufw enable
Después abre solo los puertos que uses. Por ejemplo, para una web: ufw allow 80/tcp y ufw allow 443/tcp. Para ver cómo quedó: ufw status.
En AlmaLinux ya viene firewalld con el SSH abierto. Para abrir un puerto:
firewall-cmd --permanent --add-port=8080/tcp
firewall-cmd --reload
6. Bloquear intentos de adivinar la contraseña
En internet hay robots que prueban contraseñas todo el día. fail2ban los bloquea solo:
apt install -y fail2ban