VPS सिक्योरिटी चेकलिस्ट: नए सर्वर को सुरक्षित करने के 12 स्टेप

VPS सिक्योरिटी चेकलिस्ट उन स्टेप्स की सूची है जिन्हें आप हर नए सर्वर पर कुछ भी ज़रूरी रखने से पहले चलाते हैं: SSH लॉक करना, फ़ायरवॉल चालू करना, सिस्टम अपडेट रखना, चलने वाली सर्विसेज़ सीमित करना और यह पक्का करना कि आप रिकवर कर सकें। ऑटोमेटेड बॉट्स नए IP एड्रेस को मिनटों में जाँचना शुरू कर देते हैं, इसलिए पहला घंटा बाद की किसी भी ट्यूनिंग से ज़्यादा मायने रखता है।

नीचे के स्टेप्स root एक्सेस वाले Ubuntu या Debian जैसे Linux VPS को मानकर लिखे गए हैं। कमांड उदाहरण हैं; अपने डिस्ट्रीब्यूशन के हिसाब से बदलें। इन्हें क्रम से करें और लॉगिन सेटिंग बदलते समय दूसरा SSH सेशन खुला रखें, ताकि कोई गलती आपको बाहर लॉक न कर दे।

नए VPS को हार्डन करना क्यों ज़रूरी है

वर्चुअल प्राइवेट सर्वर आपको पूरा नियंत्रण देता है, यानी पूरी ज़िम्मेदारी भी। शेयर्ड होस्टिंग के उलट, कोई आपके पैकेज पैच नहीं करता या आपके लॉगिन पर नज़र नहीं रखता। असल दुनिया के ज़्यादातर हमले चालाक एक्सप्लॉइट नहीं बल्कि आसान गलतियाँ होते हैं: कमज़ोर SSH पासवर्ड, पुराना वेब ऐप, खुला डेटाबेस पोर्ट या भूली हुई टेस्ट सर्विस।

पहला घंटा: 8 ज़रूरी स्टेप

1. सब कुछ अपडेट करें — apt update && apt upgrade (या अपने डिस्ट्रीब्यूशन का समकक्ष) चलाएँ और कर्नेल बदला हो तो रीबूट करें।
2. non-root यूज़र बनाएँ — sudo अधिकार वाला यूज़र जोड़ें और रोज़ के काम root की जगह उससे करें।
3. SSH की इस्तेमाल करें — अपने कंप्यूटर पर की पेयर बनाएँ और पब्लिक की को ssh-copy-id से सर्वर पर कॉपी करें।
4. पासवर्ड और root लॉगिन बंद करें — /etc/ssh/sshd_config में PasswordAuthentication no और PermitRootLogin no सेट करें, फिर दूसरे सेशन में की लॉगिन टेस्ट करने के बाद SSH रीस्टार्ट करें।
5. फ़ायरवॉल चालू करें — ufw से सिर्फ़ ज़रूरी चीज़ें अनुमति दें, जैसे ufw allow OpenSSH, ufw allow 80,443/tcp, फिर ufw enable।
6. ऑटोमैटिक सिक्योरिटी अपडेट चालू करें — Debian/Ubuntu पर unattended-upgrades इंस्टॉल करके चालू करें।
7. fail2ban इंस्टॉल करें — यह बार-बार गलत लॉगिन करने वाले IP को बैन करके ब्रूट-फ़ोर्स कोशिशें धीमी करता है।
8. टाइम ज़ोन और hostname सेट करें — सही टाइमस्टैम्प लॉग और सर्टिफ़िकेट को भरोसेमंद बनाते हैं।

लगातार हार्डनिंग: 4 और स्टेप

1. जो इस्तेमाल नहीं होता उसे हटाएँ — ग़ैर-ज़रूरी पैकेज अनइंस्टॉल करें और बेकार सर्विसेज़ बंद करें। सुन रहे पोर्ट ss -tulpn से जाँचें।
2. डेटाबेस प्राइवेट रखें — MySQL, PostgreSQL या Redis को 127.0.0.1 या प्राइवेट नेटवर्क से बाँधें, कभी पब्लिक इंटरनेट से नहीं।
3. सर्वर से बाहर बैकअप — बैकअप दूसरी जगह कॉपी करें और रीस्टोर टेस्ट करें। उसी मशीन पर लिया गया स्नैपशॉट बैकअप नहीं है।
4. लॉग और रिसोर्स पर नज़र रखें — ऑथ लॉग देखें, आसान अपटाइम और डिस्क स्पेस अलर्ट लगाएँ, और अचानक CPU बढ़ने की जाँच करें।

चेकलिस्ट एक नज़र में

वेब लेयर को सुरक्षित करना

अगर VPS पर वेबसाइट है, तो सबसे कमज़ोर कड़ी अक्सर ऐप्लिकेशन होती है। CMS, प्लगइन और फ़्रेमवर्क अपडेट रखें, मुफ़्त सर्टिफ़िकेट से HTTPS इस्तेमाल करें, और हर साइट को उसके अपने सिस्टम यूज़र से चलाएँ ताकि एक हैक हुई साइट बाकी साइटें न पढ़ सके। अपने डोमेन पर CAA रिकॉर्ड जोड़ें ताकि सिर्फ़ आपकी चुनी सर्टिफ़िकेट अथॉरिटी सर्टिफ़िकेट जारी कर सके, और हमारी गाइड डोमेन को VPS पर पॉइंट करना से डोमेन सही तरह जोड़ें।

API की और डेटाबेस पासवर्ड जैसे सीक्रेट सीमित अनुमति वाली एनवायरनमेंट फ़ाइलों में रखें, कभी पब्लिक वेब डायरेक्टरी या Git रिपॉज़िटरी में नहीं।

टीम और कई एडमिन के लिए एक्सेस

सर्वर लंबे समय तक एक ही यूज़र वाले नहीं रहते। जैसे ही किसी सहकर्मी, फ़्रीलांसर या डिप्लॉयमेंट टूल को एक्सेस चाहिए, क्रेडेंशियल बाँटने का तरीका आपकी सुरक्षा का हिस्सा बन जाता है।

• हर व्यक्ति की अपनी की — हर एडमिन का अपना यूज़र अकाउंट और SSH की हो। टीम में root पासवर्ड या एक ही की कभी साझा न करें।
• ऑटोमेशन के लिए अलग की — CI पाइपलाइन और बैकअप जॉब को अपनी अलग की दें, जो सिर्फ़ ज़रूरी कमांड या डायरेक्टरी तक सीमित हों।
• उसी दिन एक्सेस हटाएँ — कोई प्रोजेक्ट छोड़े तो उसका यूज़र और की तुरंत हटाएँ। authorized_keys फ़ाइलें हर तिमाही जाँचें।
• विशेषाधिकार वाले काम लॉग करें — sudo दर्ज करता है कि किसने क्या चलाया, जिससे गलतियाँ और घटनाएँ ट्रेस करना आसान होता है।
• कंट्रोल पैनल भी सुरक्षित करें — प्रोवाइडर अकाउंट सर्वर को रीइंस्टॉल या डिलीट कर सकता है; मज़बूत, यूनिक पासवर्ड और उपलब्ध हो तो टू-फ़ैक्टर ऑथेंटिकेशन इस्तेमाल करें।

हैक का शक हो तो क्या करें

• सबूत तुरंत न मिटाएँ; पहले स्नैपशॉट लें या लॉग कॉपी करें।
• सर्वर से जुड़े सभी पासवर्ड और SSH की बदलें।
• अनजान यूज़र, cron जॉब, SSH की और प्रोसेस जाँचें।
• शक हो तो साफ़ इमेज से दोबारा बनाएँ और घटना से पहले के बैकअप से डेटा रीस्टोर करें।

mistREG VPS के साथ सुरक्षित नींव

mistREG स्लोवेनिया (EU) में NVMe SSD और AMD EPYC हार्डवेयर पर KVM VPS सर्वर देता है। KVM हर सर्वर को उसका अपना कर्नेल देता है, इसलिए आप कोई भी फ़ायरवॉल, कर्नेल सेटिंग या सिक्योरिटी टूल इस्तेमाल कर सकते हैं। प्रोविज़निंग ऑटोमैटिक है: पेमेंट के लगभग 60 सेकंड बाद IP एड्रेस और root पासवर्ड आपके पैनल में दिखते हैं, इस चेकलिस्ट के लिए तैयार। ज़्यादा जानकारी के लिए हमारी ऑफ़शोर VPS होस्टिंग गाइड पढ़ें।

अकाउंट बनाएँ, crypto या कार्ड से टॉप-अप करें और प्लान सेक्शन से सर्वर चुनें। सवाल हैं? हमारी टीम Telegram पर @mistnetwork में है।