امن‌سازی سرور ابری OVH آلمان: فایروال، SSH Key و شبکه خصوصی از روز اول
وقتی یک سرور ابری جدید سفارش می‌دهید، چند دقیقه اول بعد از فعال شدن سرور تعیین می‌کند که چقدر در برابر اسکن‌ها و تلاش‌های ورود ناخواسته امن خواهید بود. امنیت سرور ابری چیزی نیست که بشود برای "بعد" گذاشت؛ قبل از نصب هر سرویسی روی سرور، چند تنظیم ساده در پنل باید انجام شده باشد.
در این مطلب سه تنظیم اصلی را روی سرور ابری OVH آلمان آریانت مرور می‌کنیم: فایروال پنل، اتصال با SSH Key به‌جای رمز عبور، و قرار دادن سرویس‌های حساس در شبکه خصوصی. هر سه مورد در پنل مدیریت سرور در دسترس هستند و نیازی به دانش پیشرفته لینوکس ندارند.
چرا امنیت سرور ابری از روز اول مهم است؟
سروری که آی‌پی عمومی دارد، از لحظه فعال شدن قابل اسکن است. ربات‌های اسکنر به‌صورت مداوم در حال بررسی پورت‌های باز روی بازه‌های آی‌پی هستند و تلاش می‌کنند با رمزهای رایج به پورت SSH وارد شوند. اگر فایروال فعال نباشد یا ورود هنوز با رمز عبور ساده انجام شود، این تلاش‌ها دیر یا زود روی یک سرور تازه‌راه‌اندازی‌شده هم اتفاق می‌افتند.
نکته خوب این است که هر سرور ابری OVH آلمان آریانت از ابتدا در شبکه‌ای قرار دارد که محافظت DDoS شبکه OVH روی آن فعال است؛ اما این محافظت در سطح شبکه است و جای تنظیمات امنیتی سطح سرور را نمی‌گیرد. فایروال، SSH Key و شبکه خصوصی سه لایه‌ای هستند که خود شما باید فعال کنید.
فایروال پنل: اولین خط دفاعی
در پنل مدیریت هر سرور ابری، فایروال به‌صورت گرافیکی قابل تنظیم است؛ یعنی نیازی به دستورات iptables یا ufw روی خود سرور نیست. از همان صفحه سرور می‌توانید:
- پورت‌های مورد نیاز (مثل ۸۰ و ۴۴۳ برای وب، یا ۲۲ برای SSH) را به‌صورت صریح باز کنید.
- پورت‌های بدون استفاده را بسته نگه دارید؛ هر پورت باز، یک سطح حمله اضافه است.
- دسترسی به پورت‌های مدیریتی (مثل SSH) را به یک یا چند آی‌پی مشخص محدود کنید، به‌جای باز گذاشتن آن برای همه اینترنت.
قاعده کلی ساده است: هر چیزی که سرویس شما به آن نیاز ندارد، بسته بماند. اگر فقط یک وب‌سایت روی سرور اجرا می‌شود، فایروال فقط باید ۸۰، ۴۴۳ و SSH را باز بگذارد؛ بقیه پورت‌ها بسته می‌مانند.
اتصال با SSH Key به‌جای رمز عبور
دومین قدم، که اثر بزرگی روی امنیت سرور ابری دارد، جایگزین کردن ورود با رمز عبور با ورود از طریق SSH Key است. هنگام سفارش سرور، به‌جای تعیین رمز عبور روت می‌توانید کلید عمومی SSH خودتان را ثبت کنید تا سرور فقط با کلید خصوصی متناظر باز شود.
تفاوت این دو روش را در جدول زیر می‌بینید:
| ویژگی | رمز عبور | SSH Key |
|---|---|---|
| قابلیت حدس‌زدن توسط ربات | بله، با حمله brute-force قابل تلاش است | عملا غیرممکن، کلید به‌جای رمز رد و بدل می‌شود |
| نیاز به واردکردن دستی هر بار | بله | نه، با کلید ذخیره‌شده در کلاینت |
| ریسک افشا در صورت لاگ‌شدن یا دیده‌شدن روی صفحه | بالا | کلید خصوصی هیچ‌وقت روی سرور یا شبکه منتقل نمی‌شود |
| مناسب برای اسکریپت و اتوماسیون | محدود | بله، بدون نیاز به ورود رمز در هر اجرا |
اگر سرور را با رمز عبور سفارش داده‌اید، می‌توانید بعدا هم کلید SSH را به سرور اضافه کنید و ورود با رمز را از تنظیمات SSH سرور غیرفعال کنید. نکته‌ای که باید در نظر داشت: تغییر رمز بعدی از پنل، رمز سرویس‌های نصب‌شده (مثل اپ‌های یک‌کلیکی) را عوض نمی‌کند؛ این موضوع جدا از ورود SSH خود سرور است. برای مراحل دقیق غیرفعال کردن ورود با رمز و تنظیم fail2ban، راهنمای امن‌سازی دسترسی SSH به سرور لینوکس را ببینید.
شبکه خصوصی: جداسازی سرویس‌های حساس
سومین لایه، شبکه خصوصی است. در پنل سرور ابری آلمان می‌توانید سرورها را پشت یک روتر داخلی به شبکه خصوصی متصل کنید که از اینترنت عمومی قابل دسترسی نیست. این یعنی:
- دیتابیس، صف پیام یا هر سرویس داخلی که فقط باید با سرورهای دیگر خودتان صحبت کند، می‌تواند هیچ آی‌پی عمومی نداشته باشد.
- ترافیک بین سرورهای شما (مثلا بین سرور اپلیکیشن و سرور دیتابیس) از شبکه خصوصی عبور می‌کند، نه از اینترنت عمومی.
- حتی اگر فایروال سرور اصلی به اشتباه تنظیم شود، سرویس داخلی که آی‌پی عمومی ندارد، از دید اینترنت اصلا دیده نمی‌شود.
برای کسی که می‌خواهد شبکه خصوصی را یک قدم جلوتر ببرد و دسترسی امن از بیرون (مثلا از لپ‌تاپ شخصی یا دفتر کار) به این شبکه داشته باشد، اپ یک‌کلیکی WireGuard دقیقا همین کار را می‌کند: یک سرور VPN با پنل مدیریت کاربران که روی هر سرور ابری OVH آلمان قابل نصب است.
امکانات تکمیلی شبکه در پنل
علاوه بر فایروال، SSH Key و شبکه خصوصی، چند امکان دیگر هم برای مدیریت امن‌تر سرور در پنل وجود دارد:
- Reverse DNS: تنظیم رکورد PTR برای آی‌پی سرور، که برای سرویس‌هایی مثل ارسال ایمیل یا اعتبارسنجی دامنه کاربرد دارد.
- Rescue Mode با کنسول VNC: اگر روزی دسترسی عادی SSH به هر دلیلی (مثلا تنظیم اشتباه فایروال خود سرور) قطع شد، می‌توانید از حالت rescue و کنسول VNC در پنل برای ورود مستقیم و اصلاح تنظیمات استفاده کنید، بدون اینکه نیاز به تماس با پشتیبانی باشد.
این دو مورد ابزار «نجات» هستند؛ یعنی اگر در تنظیم فایروال یا SSH اشتباهی رخ داد، راهی برای برگشت دارید.
چک‌لیست امن‌سازی روز اول
برای کسی که سرور ابری تازه سفارش داده، ترتیب پیشنهادی این است:
- در زمان سفارش، به‌جای رمز عبور، کلید عمومی SSH را ثبت کنید.
- بعد از فعال شدن سرور، از پنل فقط پورت‌های مورد نیاز را در فایروال باز کنید.
- اگر بیش از یک سرور دارید، سرویس‌های داخلی (دیتابیس، صف، کش) را به شبکه خصوصی متصل کنید و آی‌پی عمومی به آن‌ها اختصاص ندهید.
- در صورت نیاز به دسترسی VPN از بیرون به شبکه خصوصی، اپ WireGuard را روی یک سرور کوچک نصب کنید.
- آدرس Rescue Mode و کنسول VNC را از قبل در پنل پیدا کنید تا در صورت نیاز، معطل نمانید.
این پنج مورد را می‌توانید در همان روز اول، قبل از نصب هر اپلیکیشنی، انجام دهید.
چرا OVH آلمان برای این تنظیمات مناسب است
سرورهای ابری OVH آلمان روی دیتاسنتر فرانکفورت اجرا می‌شوند و از پردازنده‌های Xeon نسل‌جدید، رم ECC و فضای ذخیره NVMe استفاده می‌کنند. هر سرور یک IPv4 عمومی و یک IPv6 دارد و ترافیک آن بدون محدودیت حجمی است. خانواده پلن‌ها شامل Standard، Memory Optimized و Compute Optimized است و صورت‌حساب به ریال، به‌صورت ساعتی یا ماهانه محاسبه می‌شود.
اگر می‌خواهید قبل از تعهد ماهانه، تنظیمات فایروال و SSH Key را روی یک سرور تست کنید، می‌توانید از سرور ابری ساعتی استفاده کنید؛ هزینه چند ساعت تست بسیار کمتر از یک پلن ماهانه است.
سرور ابری اروپا، به‌خصوص در آلمان، برای پروژه‌هایی که مخاطب یا پارتنر اروپایی دارند انتخاب رایج است، چون تأخیر شبکه به سمت اروپا و بخشی از خاورمیانه پایین‌تر می‌آید.
جمع‌بندی
امنیت سرور ابری یک تنظیم یک‌باره نیست، اما سه قدم اول آن ساده‌اند: فایروال پنل را فقط روی پورت‌های لازم باز بگذارید، ورود را از رمز عبور به SSH Key تغییر دهید، و سرویس‌های حساس را در شبکه خصوصی نگه دارید. این سه مورد را می‌توانید همین امروز، روی یک سرور ابری OVH آلمان، در کمتر از نیم ساعت انجام دهید.
سؤالات متداول
آیا فایروال پنل جای فایروال نرم‌افزاری داخل سرور (مثل ufw) را می‌گیرد؟ فایروال پنل در سطح شبکه قبل از رسیدن ترافیک به سرور عمل می‌کند و برای اکثر کاربران کافی است؛ استفاده هم‌زمان از فایروال نرم‌افزاری داخل سرور هم ممکن است و تضادی با آن ندارد.
اگر همین الان سرور با رمز عبور ساخته‌ام، باید سرور را دوباره بسازم؟ نه، می‌توانید کلید SSH را به سرور موجود اضافه کرده و بعد ورود با رمز عبور را در تنظیمات SSH سرور غیرفعال کنید.
شبکه خصوصی فقط بین سرورهای یک پنل کار می‌کند یا بین حساب‌های مختلف هم؟ شبکه خصوصی سرورهای شما را پشت یک روتر داخلی به هم وصل می‌کند؛ برای جزئیات پیکربندی Floating IP و محدودیت‌های دقیق آن، راهنمای شبکه خصوصی و Floating IP روی سرور ابری را ببینید.
آیا این تنظیمات روی vps ابری هم همین‌طور کار می‌کند؟ بله، فایروال، SSH Key و شبکه خصوصی روی همه سرورهای ابری و vps ابری آریانت در پنل یکسان در دسترس‌اند.
برای سفارش سرور ابری OVH آلمان با این امکانات امنیتی از همان لحظه فعال شدن، به صفحه سرور ابری آلمان آریانت مراجعه کنید.
