Amankan VPS Anda: Daftar Periksa 10 Menit Pertama

Ditulis oleh tim ApexVPS • Terakhir diperbarui: Juli 2026 • 9 menit membaca

VPS Linux baru yang baru online akan langsung dipindai oleh bot otomatis dalam hitungan menit. Karena itu, langkah pertama yang paling cerdas adalah menjalani daftar periksa pengamanan VPS yang singkat dan bisa diulang sebelum menginstal hal lain. Panduan ini adalah daftar periksa tersebut: rutinitas praktis 10 menit pertama yang bisa Anda ikuti di server Ubuntu atau Debian baru mana pun untuk membuat pengguna non-root, mengunci SSH, mengaktifkan firewall, dan menutup pintu masuk bagi serangan brute-force. Setiap perintah di bawah ini standar dan aman untuk disalin, dan tidak memerlukan alat khusus — cukup terminal Anda dan beberapa menit.

Kerjakan langkah-langkah secara berurutan. Setiap langkah membangun dari langkah sebelumnya, dan pada akhirnya Anda akan memiliki server yang jauh lebih sulit untuk dibobol daripada gambar default yang Anda mulai.

Mengapa terburu-buru? Ruang IPv4 publik dipindai terus menerus. Mesin pencari untuk perangkat yang terhubung internet, bersama dengan botnet yang tak terhitung jumlahnya, membuat katalog host baru dan mencoba kredensial default sepanjang waktu. Jarak antara "server online" dan "server diserang" diukur dalam menit, bukan hari. Menghabiskan sepuluh menit fokus pada dasar-dasar ini mengeluarkan Anda dari kumpulan target mudah yang dimakan alat otomatis, dan tidak membutuhkan biaya apa pun selain perhatian Anda.

Sebelum Anda mulai

Anda akan memerlukan akses SSH ke server baru dan alamat IP yang dikirimkan penyedia kepada Anda melalui email. Di ApexVPS, setiap paket dilengkapi dengan akses root penuh, jadi Anda dapat menyelesaikan seluruh proses pengamanan ini sendiri. Buka terminal dan sambungkan sebagai root (atau pengguna default yang dibuat oleh image Anda):

ssh root@your_server_ip

Satu aturan lebih penting dari yang lain: jangan pernah menonaktifkan metode login sebelum Anda memastikan metode penggantinya berfungsi. Biarkan sesi SSH pertama Anda tetap terbuka saat Anda menguji sesi kedua. Jika ada yang salah, sesi yang terbuka itu adalah jaring pengaman Anda.

Langkah 1 — Perbarui sistem

Perangkat lunak yang diperbarui adalah fondasi dari setiap daftar periksa keamanan VPS. Mulailah dengan menyegarkan indeks paket dan menginstal pembaruan keamanan terbaru:

sudo apt update && sudo apt upgrade -y

Pada image yang baru, ini sering kali menarik banyak pembaruan, termasuk tambalan kernel dan OpenSSH. Jika kernel ditingkatkan, rencanakan reboot dengan sudo reboot setelah sisa daftar periksa selesai.

Langkah 2 — Buat pengguna non-root dengan sudo

Masuk langsung sebagai root berisiko: satu perintah yang salah dijalankan dengan hak istimewa tidak terbatas, dan root adalah akun pertama yang dicoba oleh setiap penyerang. Buat pengguna khusus dan berikan hak administratif melalui sudo sebagai gantinya:

adduser deploy
usermod -aG sudo deploy

Perintah pertama membuat akun dan meminta kata sandi; perintah kedua menambahkannya ke grup sudo. Ganti deploy dengan nama apa pun yang Anda suka. Mulai sekarang, Anda akan masuk sebagai pengguna ini dan meningkatkan ke root hanya jika perintah tertentu membutuhkannya.

Langkah 3 — Siapkan autentikasi kunci SSH

Kata sandi bisa ditebak; kunci SSH secara efektif tidak bisa. Buat pasangan kunci Ed25519 modern di mesin lokal Anda (bukan server):

ssh-keygen -t ed25519 -C "[email protected]"

Terima lokasi default dan, sebaiknya, tetapkan frasa sandi. Lalu salin bagian publik ke pengguna baru Anda di server:

ssh-copy-id deploy@your_server_ip

Jika ssh-copy-id tidak tersedia, buat direktori dan file secara manual di server, tempel kunci publik Anda ke ~/.ssh/authorized_keys, dan perbaiki izinnya:

mkdir -p ~/.ssh
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Sekarang buka terminal baru dan konfirmasi bahwa Anda dapat masuk tanpa kata sandi: ssh deploy@your_server_ip. Jangan lanjutkan sampai ini berhasil — langkah berikutnya bergantung padanya.

Langkah 4 — Kunci SSH: nonaktifkan login root dan kata sandi

Dengan login kunci yang terbukti, matikan opsi yang lebih lemah. Edit konfigurasi daemon SSH:

sudo nano /etc/ssh/sshd_config

Tetapkan (atau hapus komentar dan ubah) tiga arahan berikut:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Validasi file sebelum menerapkannya, lalu mulai ulang layanan:

sudo sshd -t
sudo systemctl restart ssh

Pemeriksaan sshd -t akan menangkap kesalahan ketik yang dapat membuat Anda terkunci. Setelah mulai ulang, uji koneksi baru di terminal terpisah. Login root melalui SSH dan tebakan kata sandi sekarang tidak berlaku lagi.

Ubah port SSH (opsional)

Memindahkan SSH dari port 22 tidak akan menghentikan penyerang yang gigih, tetapi dapat menyembunyikan Anda dari kebisingan latar belakang bot yang hanya memindai port default. Jika Anda menginginkannya, tambahkan baris seperti Port 2222 ke /etc/ssh/sshd_config. Yang penting, buka port baru di firewall Anda (langkah berikutnya) sebelum Anda memulai ulang SSH, atau Anda akan terkunci.

Langkah 5 — Aktifkan firewall dengan UFW

Firewall memastikan hanya port yang ingin Anda ekspos yang dapat dijangkau. Ubuntu dan Debian dilengkapi dengan UFW (Uncomplicated Firewall), yang sesuai dengan namanya. Tetapkan default yang masuk akal dan izinkan SSH sebelum mengaktifkannya:

sudo apt install ufw -y
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Profil OpenSSH membuka port 22. Jika Anda memindahkan SSH pada langkah sebelumnya, izinkan port baru sebagai gantinya dengan sudo ufw allow 2222/tcp. Menjalankan situs web? Tambahkan HTTP dan HTTPS:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Semua yang lain tetap tertutup secara default, yang justru Anda inginkan di server publik.

Langkah 6 — Instal fail2ban untuk menghentikan serangan brute force

Bahkan dengan kunci yang diterapkan, penyerang akan terus menyerang port SSH Anda. fail2ban memantau log Anda dan untuk sementara memblokir IP mana pun yang gagal terlalu sering. Instal dan aktifkan:

sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban

Untuk menyesuaikan aturannya, salin konfigurasi default ke override lokal agar pembaruan tidak pernah menimpa perubahan Anda, lalu edit:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Di bagian [sshd] Anda dapat menyesuaikan nilai seperti maxretry dan bantime. Muat ulang dengan sudo systemctl restart fail2ban dan periksa siapa yang saat ini dijail menggunakan sudo fail2ban-client status sshd.

Langkah 7 — Aktifkan pembaruan keamanan otomatis

Lubang keamanan ditemukan terus-menerus, dan yang paling merugikan adalah tambalan yang tidak pernah Anda terapkan. Paket unattended-upgrades memasang pembaruan penting untuk Anda secara terjadwal:

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure -plow unattended-upgrades

Pilih "Ya" saat diminta, dan Ubuntu atau Debian akan menerapkan pembaruan keamanan secara diam-diam di latar belakang. Satu langkah ini menutup celah antara kerentanan yang diungkapkan dan server Anda yang terlindungi.

Langkah 8 — Nonaktifkan layanan yang tidak digunakan dan pengerasan dasar

Setiap layanan yang mendengarkan di jaringan adalah jalur potensial masuk, jadi hapus apa pun yang tidak Anda butuhkan. Daftar apa yang sebenarnya berjalan dan apa yang terikat pada port:

sudo systemctl list-units --type=service --state=running
sudo ss -tulpn

Jika Anda melihat layanan yang tidak digunakan, nonaktifkan dan hentikan:

sudo systemctl disable --now <service-name>

Beberapa kemenangan cepat lainnya melengkapi daftar periksa:

• Jaga akurasi jam — stempel waktu yang andal membuat log Anda dapat dipercaya; timedatectl mengonfirmasi sinkronisasi waktu aktif.
• Tinjau akses sudo — hanya akun yang benar-benar membutuhkan root yang harus berada di grup sudo.
• Baca log Anda — sudo journalctl -u ssh menunjukkan siapa saja yang mencoba mengakses server Anda.

Untuk pandangan lebih dalam di tingkat kerangka kerja tentang konfigurasi aman, OWASP Foundation menerbitkan panduan pengerasan dan keamanan yang dihormati secara luas, layak untuk ditandai sebagai bookmark seiring pengaturan Anda berkembang.

Ringkasan 10 menit Anda sekilas

Simpan ringkasan ini di tempat yang mudah dijangkau — ini adalah seluruh rutinitas untuk mengamankan VPS dalam bentuk daftar periksa, sehingga Anda dapat mengulanginya dalam beberapa menit di setiap server baru yang Anda buat:

1. Perbarui semua paket dan reboot jika kernel berubah.
2. Buat pengguna non-root dan tambahkan ke grup sudo.
3. Hasilkan kunci SSH Ed25519 dan salin kunci publik ke server.
4. Konfirmasikan bahwa login berbasis kunci berfungsi di terminal kedua.
5. Nonaktifkan login root dan autentikasi kata sandi di sshd_config.
6. Opsional: pindahkan SSH ke port non-standar.
7. Aktifkan UFW, tolak masuk secara default, dan izinkan hanya port yang Anda gunakan.
8. Instal fail2ban untuk memblokir otomatis percobaan brute-force.
9. Aktifkan peningkatan keamanan tanpa pengawasan.
10. Nonaktifkan layanan yang tidak digunakan dan tinjau apa yang mendengarkan.

Tidak ada satu pun dari langkah-langkah ini yang sulit dilakukan sendiri, tetapi melewatkan salah satunya meninggalkan celah yang jelas. Dilakukan bersama, mereka membentuk garis dasar yang solid yang menghentikan mayoritas besar serangan oportunistik. Dari sini Anda dapat menambahkan ekstra seiring kebutuhan Anda berkembang — proxy terbalik dengan TLS, alat deteksi intrusi, isolasi per-layanan dengan kontainer, atau cadangan di luar server milik Anda sendiri di atas snapshot penyedia.

Bagaimana ApexVPS melengkapi pengerasan Anda

Daftar periksa di atas mengeraskan sistem operasi, tetapi beberapa ancaman berada di bawahnya. Serangan volumetrik dan kegagalan perangkat keras ditangani pada lapisan infrastruktur, dan di situlah penyedia Anda penting. Setiap paket ApexVPS mencakup perlindungan DDoS yang selalu aktif, sehingga banjir lalu lintas diserap sebelum mencapai firewall Anda, plus cadangan otomatis — harian di Starter Pro dan snapshot per jam di Business dan Enterprise — sehingga kesalahan atau kompromi tidak pernah berarti memulai dari nol. Pemantauan 24/7 dan CPU serta RAM khusus yang benar-benar didedikasikan berarti tetangga yang berisik tidak dapat memperlambat Anda atau menjadi masalah Anda.

Anda dapat melihat seluruh rangkaian proteksi di ikhtisar fitur ApexVPS, dan membandingkan apa saja yang disertakan di setiap tingkat pada halaman paket dan harga VPS. Jika Anda memperkuat server khusus untuk menjalankan aplikasi sendiri, panduan VPS self-hosting kami berpadu dengan baik dengan daftar periksa ini. Pendaftaran hanya dengan email dan pembayaran hanya dengan kripto melalui OxaPay — Bitcoin, Ethereum, USDT, dan 30+ koin, tanpa kartu kredit, tanpa rekening bank, dan tanpa KYC.

Pertanyaan yang sering diajukan

Apa hal pertama yang harus dilakukan untuk mengamankan VPS baru?

Perbarui semua paket dengan sudo apt update && sudo apt upgrade -y, lalu buat pengguna non-root dengan hak sudo sehingga Anda berhenti masuk sebagai root. Dua langkah tersebut menutup jalur serangan yang paling umum dan paling merusak sebelum Anda mengonfigurasi apa pun.

Apakah saya perlu mengubah port SSH bawaan?

Itu opsional. Memindahkan SSH dari port 22 mengurangi jumlah pemindaian otomatis di log Anda, tetapi itu bukan keamanan nyata dengan sendirinya — autentikasi berbasis kunci, firewall, dan fail2ban yang melakukan tugas berat. Jika Anda memang mengubah port, buka port baru di UFW sebelum me-restart SSH agar Anda tidak terkunci.

Apakah saya masih perlu firewall jika menggunakan kunci SSH?

Ya. Kunci SSH hanya melindungi layanan SSH; firewall seperti UFW mengontrol semua port lain di mesin. Menolak semua lalu lintas masuk secara bawaan dan hanya mengizinkan port yang benar-benar Anda gunakan adalah bagian inti dari daftar periksa VPS yang aman, dengan kunci atau tanpa kunci.

Apakah fail2ban diperlukan pada VPS?

Sangat disarankan. Bahkan dengan login kata sandi dinonaktifkan, bot akan terus memeriksa port SSH Anda dan memenuhi log Anda. fail2ban secara otomatis memblokir pelanggar berulang, mengurangi kebisingan dan memblokir peluang kecil dari serangan brute-force yang berhasil terhadap layanan apa pun.

Apakah ApexVPS menyertakan perlindungan DDoS dan cadangan?

Ya. Setiap paket dilengkapi dengan perlindungan DDoS yang selalu aktif dan cadangan otomatis — harian di Starter Pro dan snapshot per jam di Business dan Enterprise — serta pemantauan 24/7. Ini melengkapi penguatan OS Anda sendiri dengan mencakup lapisan infrastruktur yang tidak dapat Anda amankan dari dalam server.