Переход на VPS Beget Старт снимает ограничения общего хостинга, но перекладывает 100% ответственности за безопасность на владельца: стандартный SSH-порт 22 атакуется ботами каждые 2-5 секунд, что при отсутствии защиты ведет к перегрузке логов и риску брутфорса.
Проблема открытого порта 22 и SSH-ключи
Использование парольного метода авторизации на VPS — критическая ошибка. Среднестатистический сервер в течение первых 10 минут после запуска фиксирует от 50 до 200 попыток несанкционированного входа. Решение: полный отказ от паролей в пользу RSA-ключей с длиной 4096 бит. Это переводит сложность взлома из разряда «подбираемого за неделю» в категорию «математически невозможного».
Кейс: при переезде клиента с общего хостинга на VPS Beget Старт, оставившего стандартный пароль, за 24 часа в логе auth.log накопилось 12 000 записей о неудачных попытках входа. После внедрения SSH-ключей и отключения PasswordAuthentication количество таких записей в логах упало до нуля, что снизило нагрузку на CPU на 1-2%.
Экспертный вывод: пароли — это иллюзия защиты. Только SSH-ключи и смена стандартного порта на диапазон 30000-50000 делают сервер «невидимым» для 99% автоматизированных сканеров.
Настройка UFW: фильтрация трафика на входе
В отличие от общего хостинга, где брандмауэр настроен провайдером, здесь вы работаете с «голым» стеком. Использование UFW (Uncomplicated Firewall) позволяет ограничить доступ только необходимыми портами: 80 (HTTP), 443 (HTTPS) и вашим кастомным SSH-портом. Оставлять открытыми порты баз данных (например, 3306 для MySQL) на внешнем интерфейсе недопустимо — это открывает прямой путь к SQL-инъекциям на уровне протокола.
Пример настройки: вместо правила allow all, внедряется политика deny incoming по умолчанию. Для управления БД используется SSH-туннель, что исключает необходимость открывать порт 3306 для всего мира. Это особенно важно, если вы проводите оптимизацию базы данных MySQL для VPS Beget Старт, чтобы внешние запросы не создавали лишний оверхед.
Экспертный вывод: закрывайте всё, что не нужно для работы сайта. Любой открытый порт — это потенциальный вектор атаки. Правило «запрещено всё, что не разрешено» должно быть базовым.
Защита от брутфорса с помощью Fail2Ban
Даже закрытый брандмауэр не спасет от DDoS или направленного перебора, если порт открыт. Fail2Ban — обязательный инструмент, который анализирует логи и временно блокирует IP-адрес атакующего через iptables. Оптимальный конфиг: 3 неудачные попытки входа в течение 10 минут приводят к бану на 1 час. Для рецидивистов срок бана можно увеличить до 24 часов.
Практика показывает, что без Fail2Ban даже при смене порта 22 на 45000, умные сканеры находят его за 15-20 минут. С установленным сервисом количество активных соединений с подозрительных IP снижается на 95-98%, что освобождает оперативную память для работы веб-сервера.
Экспертный вывод: Fail2Ban — это ваш бесплатный автоматический «вышибала». Без него любой VPS превращается в полигон для хакеров, что рано или поздно приведет к нестабильности системы.
Изоляция прав и безопасность файловой системы
Типичная ошибка новичков — запуск веб-сервера (Nginx/Apache) от имени root. В случае уязвимости в CMS (например, старый плагин WooCommerce), злоумышленник получает полный контроль над всей ОС. Правильный подход: создание отдельного пользователя с ограниченными правами (www-data), которому разрешено чтение и запись только в конкретные папки сайта.
Сравнение: при атаке на сервер с правами root взломщик за 1 секунду меняет пароль root и удаляет все бэкапы. При изоляции прав атакующий застревает в папке /var/www/, не имея доступа к системным конфигам и SSH-ключам. Это критически важно, когда вы выполняете перенос сайта с общего хостинга на VPS Beget Старт, так как права доступа на общем хостинге были настроены автоматически.
Экспертный вывод: никогда не работайте под root в повседневных задачах. Используйте sudo для административных действий и строго разграничивайте права доступа к файлам (chmod 644 для файлов, 755 для папок).
Вывод
Безопасность VPS Beget Старт — это не одна «галочка» в панели, а комплекс из четырех действий: замена паролей на SSH-ключи, смена порта 22, настройка UFW и установка Fail2Ban. Начинать нужно именно с SSH-ключей, так как это закрывает самую широкую дыру в защите. Избегайте использования стандартных панелей управления с открытыми портами без брандмауэра — это превращает ваш сервер в легкую мишень. Мой вердикт: VPS дает свободу, но без базового харднинга (укрепления) системы вы рискуете потерять данные за считанные часы после запуска.