Sécuriser son VPS Linux au premier démarrage

Mettre à jour le système

1. 1.Connectez-vous en SSH à votre VPS.
2. 2.Tapez apt update && apt upgrade -y, puis Entrée.
3. 3.Si le système demande un redémarrage, tapez reboot, attendez une minute, puis reconnectez-vous.

Sous Rocky Linux et AlmaLinux, remplacez apt update && apt upgrade -y par dnf upgrade -y, le groupe sudo par wheel, le service ssh par sshd, et ufw par firewalld.

Créer un utilisateur pour travailler

1. 1.Installez sudo s’il manque : apt install -y sudo.
2. 2.Créez l’utilisateur : adduser alice. Choisissez un mot de passe, les autres questions peuvent rester vides (Entrée).
3. 3.Donnez-lui les droits d’administration : usermod -aG sudo alice.
4. 4.Ouvrez un deuxième terminal et connectez-vous avec ssh alice@203.0.113.10.
5. 5.Tapez sudo whoami. La réponse root confirme que tout fonctionne.

Couper la connexion root par mot de passe

Ne touchez pas à ce fichier avant d’avoir une clé SSH qui fonctionne. Avec PasswordAuthentication no et sans clé, plus personne ne peut se connecter.

1. 1.Sur votre ordinateur, créez une clé SSH si vous n’en avez pas encore : voir Passer à une clé SSH.
2. 2.Envoyez la clé à votre utilisateur : ssh-copy-id alice@203.0.113.10.
3. 3.Testez avec ssh alice@203.0.113.10. La connexion doit se faire sans demander le mot de passe de l’utilisateur.
4. 4.Ouvrez le fichier de configuration du VPS : sudo nano /etc/ssh/sshd_config.
5. 5.Réglez PermitRootLogin no et PasswordAuthentication no. Enregistrez avec Ctrl+O, Entrée, puis quittez avec Ctrl+X.
6. 6.Rechargez SSH : sudo systemctl restart ssh.
7. 7.Sans fermer l’ancien terminal, ouvrez-en un troisième et testez ssh alice@203.0.113.10.

Gardez un terminal connecté jusqu’au test final. Sur Ubuntu, vérifiez aussi les fichiers de /etc/ssh/sshd_config.d/ : l’un d’eux peut remettre PasswordAuthentication yes.

Activer le pare-feu

Sur nos VPS, tous les ports sont ouverts : c’est à vous de choisir ceux qui restent accessibles.

1. 1.Installez ufw : sudo apt install -y ufw.
2. 2.Autorisez SSH : sudo ufw allow 22/tcp.
3. 3.Si le VPS héberge un site, autorisez aussi le web : sudo ufw allow 80/tcp et sudo ufw allow 443/tcp.
4. 4.Activez le pare-feu : sudo ufw enable, puis tapez y.
5. 5.Vérifiez avec sudo ufw status.

Autorisez toujours SSH avant ufw enable, sinon vous perdez l’accès. Si ça arrive, la console VNC du VPS permet de reprendre la main depuis le navigateur.

Bloquer les tentatives répétées avec fail2ban

1. 1.Installez fail2ban : sudo apt install -y fail2ban.
2. 2.Démarrez-le : sudo systemctl enable --now fail2ban.
3. 3.Vérifiez la protection SSH avec sudo fail2ban-client status sshd.

Sous Rocky Linux et AlmaLinux, fail2ban vient du dépôt EPEL : installez d’abord epel-release avec sudo dnf install -y epel-release.