چک‌لیست امن‌سازی سرور لینوکس: قفل کردن SSH، فایروال UFW و Fail2ban

# روی سیستم خودتان اجرا کنید
ssh-keygen -t ed25519 -C "admin@jolfacloud"

# کپی کردن کلید عمومی روی سرور
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@203.0.113.10

ssh -i ~/.ssh/id_ed25519 user@203.0.113.10

# تغییر پورت پیش‌فرض (اختیاری؛ حجم اسکن‌های رباتی و لاگ را خیلی کم می‌کند، ولی جای امنیت واقعی را نمی‌گیرد)
Port 2222

# root فقط با کلید وارد شود (اگر کاربر sudo جدا دارید، no بگذارید)
PermitRootLogin prohibit-password

# ورود با رمز عبور کاملاً خاموش شود (فقط کلید مجاز است)
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

# سقف دفعات تلاش مجدد
MaxAuthTries 3

# قطع اتصالات معلق و بیکار
ClientAliveInterval 300
ClientAliveCountMax 2

sudo sshd -t                 # اگر خروجی نداشت یعنی فایل سالم است
sudo systemctl restart ssh   # یا sshd

# اوبونتو ۲۴.۰۴ به بعد: SSH با ssh.socket روشن می‌شود و پورت را از همین کانفیگ می‌خواند
sudo systemctl daemon-reload
sudo systemctl restart ssh.socket

# تنظیم سیاست پیش‌فرض: رد ورود، قبول خروج
sudo ufw default deny incoming
sudo ufw default allow outgoing

# باز کردن پورت جدید SSH (اگر ۲۲۲۲ گذاشتید)
sudo ufw allow 2222/tcp comment "SSH custom port"

# باز کردن پورت‌های وب
sudo ufw allow 80/tcp comment "HTTP"
sudo ufw allow 443/tcp comment "HTTPS"

# فعال‌سازی فایروال
sudo ufw enable
sudo ufw status verbose

sudo apt update && sudo apt install -y fail2ban

[DEFAULT]
# مدت زمان مسدودسازی (۱ روز)
bantime = 1d
# پنجره بررسی تلاش‌ها (۱۰ دقیقه)
findtime = 10m
# حداکثر تلاش مجاز
maxretry = 3
# نادیده گرفتن IP دفتر یا سیستم خودتان
ignoreip = 127.0.0.1/8 ::1 198.51.100.25

[sshd]
enabled = true
port = 2222
backend = systemd

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd      # مشاهده وضعیت و تعداد IPهای بلاک‌شده

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

sudo ss -tulpn