Cara Mengamankan VPS Linux Baru: Langkah Awal Wajib

Baru saja membuat VPS dan ingin langsung memasang website? Tahan dulu sebentar. Server itu sudah punya IP publik, jadi sudah bisa dihubungi siapa pun di internet, dan dalam hitungan menit bot otomatis biasanya mulai mencoba login SSH dengan tebakan username dan password.

Jawabannya: amankan dulu dengan tujuh langkah berurutan di bawah ini, lalu siapkan backup terpisah. Semua langkah berlaku untuk Ubuntu dan Debian, bisa selesai dalam waktu singkat, dan sebagian bergantung pada langkah sebelumnya, jadi jangan diacak.

Kenapa VPS baru tidak boleh dibiarkan apa adanya?

Pada VPS unmanaged, penyedia mengamankan infrastruktur dan jaringan, sedangkan isi server menjadi tanggung jawabmu. Image sistem operasi bawaan dibuat agar mudah dipakai, belum tentu disetel ketat. Login root dengan password, port yang terbuka, dan paket yang belum diperbarui adalah pintu masuk yang paling sering disalahgunakan.

Yang membuat ini berbahaya: server yang dibobol jarang terlihat rusak. Biasanya ia diam-diam dipakai untuk menambang kripto, mengirim spam, atau menyerang server lain. Pembagian tanggung jawabnya dibahas di managed VPS vs unmanaged.

Tahap 1: siapkan dasar sistem

Langkah 1. Perbarui sistem

Login pertama kali memakai akun yang diberikan penyedia, lalu jalankan:

apt update && apt upgrade -y

Ini menutup celah yang sudah diketahui. Kalau ada pembaruan kernel, reboot server setelahnya.

Langkah 2. Buat user biasa dengan akses sudo

Bekerja langsung sebagai root membuat satu salah ketik bisa berakibat fatal. Buat user baru dan beri akses sudo:

adduser budi
usermod -aG sudo budi

Ganti budi dengan nama pilihanmu. Mulai sekarang, pakai user ini dan tambahkan sudo untuk perintah administratif.

Tahap 2: tutup jalur tebak password lewat SSH

Dua langkah ini menutup cara serangan yang paling sering dipakai bot, yaitu menebak password root.

Langkah 3. Login dengan SSH key

Buat pasangan kunci di laptopmu, lalu salin kunci publiknya ke server:

ssh-keygen -t ed25519
ssh-copy-id budi@IP-SERVER

Coba ssh budi@IP-SERVER. Kalau bisa masuk tanpa diminta password akun, kunci sudah bekerja. Soal passphrase, cara kerja kunci, dan pemakaian di Windows, baca SSH key vs password.

Langkah 4. Matikan login root dan login password

Edit /etc/ssh/sshd_config dan pastikan nilainya seperti ini¹:

PermitRootLogin no
PasswordAuthentication no

Di Ubuntu versi baru, cek juga folder /etc/ssh/sshd_config.d/, karena pengaturan di sana bisa menimpa file utama. Uji konfigurasi dengan sudo sshd -t, lalu muat ulang layanan dengan sudo systemctl restart ssh.

Tahap 3: batasi pintu masuk dari jaringan

Langkah 5. Aktifkan firewall UFW

UFW memudahkan pengaturan firewall di Ubuntu dan Debian. Buka port SSH lebih dulu supaya koneksimu tidak terputus:

sudo apt install ufw
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Buka hanya port yang benar-benar dipakai. Database seperti MySQL atau PostgreSQL sebaiknya tidak dibuka untuk umum.

Perlu diingat, container Docker yang mempublikasikan port bisa melewati aturan UFW, jadi atur port container dengan hati-hati. Kalau penyedia menyediakan security group, pakai juga sebagai lapisan tambahan di luar server.

Langkah 6. Pasang Fail2Ban

Fail2Ban membaca log login dan memblokir sementara alamat IP yang gagal berulang kali:

sudo apt install fail2ban

Buat file /etc/fail2ban/jail.local berisi [sshd] dan enabled = true, lalu jalankan sudo systemctl restart fail2ban. Di sistem yang mencatat log hanya lewat journald, seperti instalasi Debian 12 tanpa rsyslog, tambahkan backend = systemd di bagian yang sama. Cek hasilnya dengan sudo fail2ban-client status sshd.

Tahap 4: biarkan patch keamanan berjalan sendiri

Langkah 7. Aktifkan update keamanan otomatis

sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

Pembaruan keamanan akan terpasang tanpa menunggu kamu. Tetap cek server secara berkala, karena beberapa pembaruan butuh reboot.

Setelah tujuh langkah: rawat dan pilih cara mengelola

Server yang sudah dikunci tetap perlu dirawat. Siapkan backup di lokasi terpisah dan uji pemulihannya, karena backup di server yang sama ikut hilang bila server bermasalah. Pantau pemakaian CPU, RAM, dan bandwidth: lonjakan tanpa sebab bisa jadi tanda penyusupan. Hapus paket dan layanan yang tidak dipakai, karena setiap layanan yang berjalan menambah celah.

Serangan banjir trafik juga tidak bisa ditangani firewall di dalam server saja. Penjelasannya ada di anti-DDoS VPS.

Langkah di atas hanya awal. Setelahnya ada patch rutin, pemantauan log, dan penanganan bila ada yang mencurigakan. Kalau timmu ingin mengerjakannya sendiri, VPS High Performance Nivelva memberi akses root penuh, SSH dan console, firewall dan security group yang bisa kamu atur sendiri, serta Anti-DDoS Magic Transit di semua paket.

Kalau tidak ingin mengurus server sama sekali, VPS Managed dikelola penuh oleh engineer Nivelva, mulai dari hardening dan firewall Imunify360, KernelCare untuk patch kernel tanpa reboot, Fail2Ban, backup off-site, sampai monitoring 24/7. Pelanggan tidak mendapat akses root, dan perubahan konfigurasi dikerjakan tim lewat tiket atau WhatsApp. Rinciannya ada di panduan VPS Managed.

Ringkasan langkah dan alatnya

Checklist sebelum memasang aplikasi pertama:

• apt upgrade sudah dijalankan dan server sudah di-reboot bila ada pembaruan kernel.
• Kamu login sebagai user biasa dengan sudo, bukan root.
• Login dengan SSH key berhasil di terminal baru.
• PermitRootLogin no dan PasswordAuthentication no aktif, dan sudo sshd -t tidak menampilkan galat.
• sudo ufw status verbose hanya menampilkan port yang memang dipakai.
• sudo fail2ban-client status sshd menunjukkan jail aktif.
• unattended-upgrades terpasang, dan backup di lokasi terpisah sudah diuji pemulihannya.