Vilka standardportar använder vanliga servertjänster?

SSH använder port 22, FTP port 21, Mail port 25, DNS port 53, HTTP port 80 och HTTPS port 443.

Dedikerad server: Linux säkerhetstips

Upptäck hur du kan förbättra säkerheten på din Linux-server med viktiga tips för att förhindra obehörig åtkomst och skydda dina tjänster → Läs mer nu

10 november 202610 min läsning6 Visningar0 hjälpsam

Introduktion

Denna guide innehåller några tips och råd om hur du kan göra din Linux-server säkrare. Eftersom servrar måste vara tillgängliga utifrån är ett grundläggande skydd mot oönskad åtkomst alltid rekommenderat och bör inte förbises.

Info

Observera att dessa instruktioner inte är uttömmande och mer detaljerad information finns i andra delar av ZAP-dokumentationen. (t.ex. 2FA (SSH))

Tips

Det enklaste sättet att skydda din server är alltid detsamma, oavsett server: Använd säkra lösenord, uppdatera dina tjänster regelbundet och var noga med vilka tjänster du installerar och vilka instruktioner du följer.

Säkerställ SSH

SSH (Secure Shell) är en tjänst som låter dig fjärransluta till din servers konsol för att köra kommandon. Här kan du se hur du ställer in SSH på din server: Första åtkomst (SSH)

Som standard används lösenordsbaserad inloggning för SSH. Detta har dock nackdelen att autentiseringen relativt lätt kan kringgås via brute-force-attacker, särskilt om du använder ett för enkelt lösenord för SSH-åtkomsten. Om du väljer lösenordslösningen, använd då ett säkert lösenord.

För att skydda din server ännu bättre mot oönskad SSH-åtkomst bör du aktivera autentisering endast via SSH-nycklar och inaktivera lösenordsinloggning. Se SSH-nyckelguide för VPS (gäller i princip även för dedikerade servrar) för hur du genererar och lägger till SSH-nycklar.

Portkonfiguration för dina tjänster

Tjänst	Port
SSH	22
FTP	21
Mail	25
DNS	53
HTTP	80
HTTPS	443

Tjänster som SSH eller FTP använder som standard alltid samma portar (några av dem finns i tabellen ovan). Om en extern angripare försöker knäcka din SSH-tjänst via brute force måste denne först veta vilken port SSH använder. Om du inte ändrar dessa portar är det oftast port 22 och 21 som används för att direkt köra kommandon på servern eller komma åt filer via FTP.

För att förhindra detta rekommenderar vi att du anpassar portarna för standardtjänsterna. I nästa avsnitt får du veta hur du gör:

Varning

Den port du väljer måste ligga mellan 1024 och 65535 och får inte vara en redan använd port!

Med cat /etc/services kan du visa några standardportar för att undvika att välja en redan upptagen port.

Ändra SSH-port

För att ändra SSH-porten måste du justera konfigurationsfilen. Den finns vanligtvis under /etc/ssh/sshd_config. Om inte kan du söka efter den med följande kommando:

Code

find / -name "sshd_config" 2>/dev/null

Öppna filen med nano (som root eller med sudo).

Code

sudo nano /etc/ssh/sshd_config

Lägg till din önskade port efter Port. Om Port är kommenterad (t.ex. #Port 22), ta bort "#" och ersätt 22 med din valda port. Spara filen (i Nano med Ctrl + o) och stäng den (Nano: Ctrl + x).

SSH-tjänsten måste nu startas om för att ändringarna ska träda i kraft.

Code

# På Ubuntu/Debian/CentOS t.ex.
sudo systemctl restart sshd

Ändra FTP-port

Om du har installerat en FTP-tjänst som proFTPd kan du också enkelt ändra porten via konfigurationsfilen. Proceduren är liknande som för SSH.

Hitta konfigurationsfilen proftpd.conf

Code

find / -name "proftpd.conf" 2>/dev/null

Filen finns vanligtvis under /etc/proftpd.conf (CentOS) eller /etc/proftpd/proftpd.conf (Ubuntu, Debian). Öppna filen med nano, ta bort "#" framför port och ange din önskade port. Följ anvisningarna ovan för att inte välja en ogiltig port.

Tips

Använd Ctrl + W för att söka i nano.

Code

nano /etc/proftpd/proftpd.conf

Använd en brandvägg

Principen för extern åtkomst till en server är alltid densamma: En port måste vara öppen för att servern ska vara tillgänglig utifrån. För SSH är detta standardmässigt port 22/TCP. (se ovan hur du ändrar standardporten)

Problemet är att denna port nu är tillgänglig för alla, oavsett vem, varifrån och med vilken avsikt. Detta utgör en stor säkerhetsrisk eftersom angripare kan överösa servern med inloggningsförsök för att antingen gissa rätt lösenord (via brute force, om lösenordsinloggning fortfarande är aktiverad) eller överbelasta servern (t.ex. DDoS).

För att minska dessa effekter kan du använda brandväggsregler som begränsar åtkomsten till öppna portar.

Det finns två metoder du kan använda:

IPTables: Den klassiska Linux-brandväggen med många alternativ men något mer komplex att använda.
UFW: Ett enklare gränssnitt för IPTables som undviker komplicerade kommandon men är något mer begränsat.

Valet är ditt. Beroende på användning kan du behöva flexibiliteten i IPTables, ibland räcker UFW. (t.ex. om du bara vill öppna/stänga portar – bättre än inget!)

IPTables

I detta avsnitt använder du IPTables för att skapa regler som begränsar antalet anslutningsförsök. Förklaringar till kommandona finns under kodblocket.

Observera att regeln endast är aktiverad för port 22 (värdet efter --dport) och kommandona måste anpassas för andra tjänster.

Info

Följande kommandon fungerar inte på alla Linux-distributioner, men på de flesta populära.

Logga in på din Linux-server först. Behöver du hjälp, följ vår Första åtkomst (SSH) guide. Kör sedan kommandona i angiven ordning.

Code

iptables -A INPUT -p tcp --syn --dport 22 -m connlimit --connlimit-above 2 --connlimit-mask 32 -j DROP
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 1 --hitcount 2 -j DROP

Den första regeln släpper paket om det finns mer än 2 anslutningar i TIME_WAIT-status till port 22 från en enskild IP.
Den andra regeln lägger till IP-adressen för en ny anslutning i recent-listan.
Den tredje regeln släpper nya anslutningar från IP-adresser som under den senaste sekunden försökt ansluta mer än 2 gånger.

UFW

Som nämnts ovan är UFW ett "enklare" gränssnitt för IPTables. Första steget är att installera UFW eftersom det inte alltid ingår i alla Linux-distributioner. Kör kommandon som root eller med sudo.

Logga in på din Linux-server först. Behöver du hjälp, följ vår guide Första åtkomst (SSH). Följande instruktioner är testade på Debian och Ubuntu men bör fungera på andra distributioner också.

Uppdatera först apt-katalogen och befintliga tjänster.

Code

sudo apt update && sudo apt upgrade -y

Installera sedan UFW via apt.

Code

sudo apt install ufw -y

Kontrollera att installationen lyckades med följande kommando.

Code

sudo ufw status
> Firewall not loaded

För att inte låsa ute dig själv måste SSH-tjänsten tillåtas innan brandväggen aktiveras.

Varning

Om du redan ändrat SSH-porten, ange här den nya porten istället för 22.

Använd följande kommandon för att tillåta SSH-tjänsten.

Code

sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status

Ett lyckat svar bör se ut så här:

Code

Status: active
  
To Action From
-- ------ ----
22/tcp ALLOW Anywhere
22/tcp (v6) ALLOW Anywhere (v6)

Kör sedan följande kommando som begränsar anslutningar till 6 per minut.

Code

ufw limit 22/tcp

Info

UFW tillåter endast en begränsning på 6 anslutningar per minut. UFW:s limiter är enkel och passar inte alla situationer. För mer detaljerad och flexibel konfiguration rekommenderar vi att använda IPTables direkt.

Tips

Brandväggen (oavsett IPTables eller UFW) räknar bara "blint" anslutningsförsök och blockerar därefter. Med Fail2Ban kan du övervaka loggfiler för misstänkt aktivitet. I nästa avsnitt lär du dig hur du installerar och aktiverar Fail2Ban.

Extra skydd med Fail2Ban

Fail2Ban är en tjänst som blockerar IP-adresser som försöker logga in på servern med sannolikt illvilliga avsikter. Fail2Ban övervakar loggfiler för misstänkt aktivitet och skyddar ditt system enkelt och effektivt.

Efter installationen har Fail2Ban redan förkonfigurerade inställningar för några vanliga tjänster, bland annat:

apache
lighttpd
sshd
qmail
postfix
Courier Mail Server Fler tjänster kan enkelt läggas till med reguljära uttryck (RegEx) och angivande av önskad loggfil.

Som exempel tittar vi på en post i /var/log/auth.log. Denna fil innehåller alla SSH-inloggningsförsök, oavsett om de lyckades eller misslyckades.

Här ser du posten:

Code

Dec 2 12:59:19 vps-zap515723-2 sshd[364126]: Failed password for root from 92.117.xxx.xxx port 52504 ssh2

Fail2Ban använder denna loggfil och övervakar misslyckade autentiseringar. Eftersom loggfilen direkt innehåller angriparens IP-adress kan Fail2Ban blockera denna IP efter några misslyckade försök.

Installera Fail2Ban

Logga in på din Linux-server först. Behöver du hjälp, följ vår Första åtkomst (SSH) guide. Kör kommandon som root eller med sudo.

Code

sudo apt update && sudo apt upgrade -y
sudo apt install fail2ban

Efter installationen kan du direkt kontrollera status med systemctl: (Avsluta med Ctrl+C)

Code

systemctl status fail2ban.service
* fail2ban.service - Fail2Ban Service
     Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled; vendor pres>
     Active: active (running) sedan Sat 2023-12-02 13:10:33 UTC; 24s ago
       Docs: man:fail2ban(1)
    Process: 23988 ExecStartPre=/bin/mkdir -p /run/fail2ban (code=exited, statu>
   Main PID: 23989 (fail2ban-server)
        CPU: 409ms
     CGroup: /system.slice/fail2ban.service
             `-23989 /usr/bin/python3 /usr/bin/fail2ban-server -xf start

Dec 02 13:10:33 vps-zap515723-1 systemd[1]: Starting Fail2Ban Service...
Dec 02 13:10:33 vps-zap515723-1 systemd[1]: Started Fail2Ban Service.
Dec 02 13:10:34 vps-zap515723-1 fail2ban-server[23989]: Server ready

Konfigurera Fail2Ban

Fail2Ban är nu installerat men ännu inte aktivt eller konfigurerat. Titta i /etc/fail2ban där följande filer bör finnas:

Code

action.d fail2ban.d jail.conf paths-arch.conf paths-debian.conf
fail2ban.conf filter.d jail.d paths-common.conf paths-opensuse.conf

För att skapa en aktiv "jail" måste en fil som heter jail.local skapas. Kopiera innehållet från jail.conf till den nya filen och öppna den:

Code

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Alla inställningar kan nu göras i jail.local, inklusive vilka tjänster som ska övervakas. Titta bara på delen efter [Default]. Denna sektion innehåller grundinställningar.

Skrolla ner till denna sektion och anpassa t.ex. så här:

Attribut	Förklaring	Värde
ignoreip	IP-adresser som inte ska blockeras	127.0.0.1/8
ignorecommand	Inte relevant.
bantime	Hur länge en IP-adress är blockerad	1h
findtime	Tidsperiod då misslyckade inloggningar räknas	10m
maxretry	Antal misslyckanden innan blockering sker	5

Code

# kan definieras med mellanslag (och/eller komma).
#ignoreip = 127.0.0.1/8 ::1

# ignorecommand = /path/to/command <ip>
ignorecommand =

# "bantime" är antal sekunder en host är blockerad.
bantime  = 1h

# En host blockeras om den har "maxretry" fel inom "findtime"
# sekunder.
findtime  = 10m

# "maxretry" är antalet fel innan blockering.
maxretry = 5

Nu har du gjort grundinställningarna. För att t.ex. övervaka SSH-tjänsten, skrolla ner till [sshd]-taggen. Om du ändrat port ska du ange den under port.

[sshd]-taggen ser ut så här:

Code

[sshd]

enabled = true
port = 22
filter = sshd
logpath = /var/log/auth.log
maxretry = 4

Tips

Som du ser kan du göra individuella inställningar för varje tjänst (t.ex. maxretry som är lägre än standardvärdet). Om du inte gör det används standardinställningarna.

Starta om Fail2Ban för att aktivera övervakningen.

Code

sudo systemctl restart fail2ban.service

Kontrollera Fail2Bans funktion

Om du har tillgång till ett VPN eller en annan server kan du testa om Fail2Ban fungerar genom att blockera dig själv. Med VPN eller mobil hotspot får du en annan IP som du kan testa med.

Varning

Testa inte i ditt vanliga nätverk, då kan din egen IP blockeras och du blir utlåst.

Försök ansluta via SSH till din server (med annan IP!) och ange fel lösenord varje gång. Resultatet bör se ut så här:

Code

root@185.223.29.xxx's password:
Permission denied, please try again.
root@185.223.29.xxx's password:
Permission denied, please try again.
root@185.223.29.xxx's password:
root@185.223.29.xxx: Permission denied (publickey,password).
root@vps-zap515723-2:/var/log# ssh root@185.223.29.179
root@185.223.29.xxx's password:
Permission denied, please try again.
root@185.223.29.xxx's password:
Permission denied, please try again.
root@185.223.29.xxx's password:
^C
root@vps-zap515723-2:/var/log# ssh root@185.223.29.xxx
ssh: connect to host 185.223.29.xxx port 22: Connection refused

Som du ser nekas anslutningen från din Fail2Ban-skyddade server nu (Connection refused istället för Permission denied).

Visa status för Fail2Ban. Här ser du att en IP-adress är blockerad.

Code

fail2ban-client status sshd
Status for the jail: sshd
|- Filter
|  |- Currently failed: 4
|  |- Total failed:     8
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 1
   |- Total banned:     1
   `- Banned IP list:   xxx

Vill du låsa upp en IP igen kan du göra det med kommandot: fail2ban-client set sshd unbanip {din IP}.

Info

Om du har ovanligt många IP-blockeringar kan det vara bra att öka blockeringstiden för varje misslyckat försök för att minska antalet möjliga inloggningsförsök.

Code

[sshd]

enabled = true
port    = 22
filter  = sshd
logpath = /var/log/auth.log
maxretry = 4

bantime = 1h
# Bantime bör öka med varje blockering av denna IP
bantime.increment = true
# Skalningsfaktor på 24 timmar (1h,24h,48h,3d,4d....)
bantime.factor = 24
# Maximal blockeringstid = 5 veckor
bantime.maxtime = 5w

Skydda webbserver med Cloudflare

Många använder Cloudflare som DNS-hanterare för sin domän. Cloudflare har inte bara ett av världens största nätverk, vilket ger snabbare laddningstider, lägre latens och bättre användarupplevelse, utan skyddar också dina webbplatser mot DoS/DDoS-attacker, inklusive flooding och nya attacktyper som upptäcks dagligen. I denna guide lär du dig hur du skyddar din webbserver mot attacker.

Vi antar att din domän redan hanteras av Cloudflare. Om inte kan du följa deras guide för att överföra din domän. Gå i Cloudflare Dashboard till fliken DNS Records och se till att din post för webbservern har det orange molnet och visar "Proxied".

All trafik till din domän går nu via Cloudflare och vidare till din server – legitim trafik. Din server är dock fortfarande åtkomlig utanför Cloudflare. Därför måste du begränsa åtkomsten till TCP-portarna 80 och 443 på din Linux-server och endast tillåta legitim Cloudflare-trafik.

Det kan du göra genom att manuellt lägga till brandväggsregler med Cloudflare IPv4-listan och Cloudflare IPv6-listan.

Alternativt sparar du tid och använder verktyg som Cloudflare-ufw för att snabbt importera dessa brandväggsregler i mängd. Se till att du inte har separata regler som tillåter obegränsad åtkomst till din webbserver utöver de nyss tillagda, annars fungerar inte reglerna.

Avslutning – din server är nu mycket säkrare än tidigare!

Denna guide har visat dig några grundläggande och avancerade funktioner för att säkra din Linux-server. Om du har följt alla relevanta rekommendationer för ditt system är din server redan betydligt säkrare än tidigare – grattis!

Fler åtgärder är naturligtvis möjliga:

2FA (SSH)
Lägg till fler konfigurationer för Fail2Ban
Ställ in e-postaviseringar i Fail2Ban
Och mycket mer...

FAQ

Vanliga frågor

Använd säkra lösenord, uppdatera dina tjänster regelbundet och var noga med vilka tjänster du installerar och vilka instruktioner du följer.

Standardlösenordsinloggning för SSH kan relativt lätt kringgås via brute-force-attacker, särskilt med enkla lösenord. Det rekommenderas att endast använda autentisering via SSH-nycklar och inaktivera lösenordsinloggning.

SSH använder som standard port 22. Eftersom tjänster som SSH och FTP alltid använder samma standardportar är dessa vanliga mål för automatiserade attacker – skyddsåtgärder rekommenderas.

Feedback

Var den här artikeln till hjälp?

Din feedback hjälper oss att prioritera och förbättra innehåll.

0 av 0 Personer som lämnat feedback tyckte att den här artikeln var hjälpsam.

Personlig hjälp

Räcker inte guiden till?

Vår ZAP-support känner till din produkt – beskriv kort ditt ärende så hjälper vi dig personligen.

Vilka 🍪 cookies vill du tillåta?

Dedikerad server: Linux säkerhetstips

Introduktion

Säkerställ SSH

Portkonfiguration för dina tjänster

Ändra SSH-port

Ändra FTP-port

Använd en brandvägg

IPTables

UFW

Extra skydd med Fail2Ban

Installera Fail2Ban

Konfigurera Fail2Ban

Kontrollera Fail2Bans funktion

Skydda webbserver med Cloudflare

Avslutning – din server är nu mycket säkrare än tidigare!

Vanliga frågor