Servidor VPS Linux: operação segura

Visão geral

Os VPS AstraHosting usam infraestrutura no Brasil, NVMe, proteção Anti-DDoS, rede de até 1 Gbps e painel de controle. O cliente administra o sistema operacional, aplicações e dados.

Primeiro acesso SSH

ssh root@SEU_IP
apt update && apt full-upgrade -y
adduser operador
usermod -aG sudo operador
reboot

Use um usuário administrativo no dia a dia. Durante mudanças de acesso, mantenha uma segunda sessão aberta.

Chaves e endurecimento

ssh-keygen -t ed25519 -C "acesso-vps"
ssh-copy-id operador@SEU_IP

Teste a chave antes de editar /etc/ssh/sshd_config. Depois use PermitRootLogin no e PasswordAuthentication no. Valide com sshd -t antes de recarregar.

Firewall e Nginx

ufw allow OpenSSH
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable
apt install nginx -y
systemctl enable --now nginx
nginx -t

Abra somente portas usadas. Anti-DDoS não substitui firewall, atualizações e autenticação segura dentro do VPS.

Docker

Fixe versões, não exponha bancos, use volumes e mantenha segredos fora do repositório.

docker compose pull
docker compose up -d
docker compose ps
docker compose logs --tail=100

Monitoramento

uptime
free -h
df -h
ss -tulpn
systemctl --failed
journalctl -p err -b

Monitore CPU, memória, disco, latência, erros e certificados. Colete evidências antes de reiniciar um serviço.

Escolher o sistema

Ubuntu LTS e Debian Stable são boas opções gerais. Escolha conforme suporte da aplicação, experiência da equipe e ciclo de atualizações. Evite imagens sem manutenção. Registre versão, arquitetura, serviços, portas e responsáveis.

Instalar Node.js com serviço

Use uma versão LTS e um gerenciador apropriado. Execute a aplicação com usuário sem privilégios e exponha-a somente em localhost atrás do Nginx.

sudo systemctl daemon-reload
sudo systemctl enable --now minha-aplicacao
sudo systemctl status minha-aplicacao
sudo journalctl -u minha-aplicacao -n 100

HTTPS com Certbot

apt install certbot python3-certbot-nginx -y
certbot --nginx -d exemplo.com -d www.exemplo.com
certbot renew --dry-run

Antes de emitir, confirme que o DNS aponta para o VPS e que as portas 80/443 estão acessíveis.

Fail2ban e atualizações

apt install fail2ban unattended-upgrades -y
systemctl enable --now fail2ban
fail2ban-client status

Ajuste políticas ao tráfego real para não bloquear usuários legítimos. Atualizações automáticas de segurança devem ser acompanhadas por monitoramento e plano de reversão.

Backup e incidentes

Snapshots não substituem backup independente. Defina RPO e RTO e teste restaurações.

1. Confirme o status no painel.
2. Teste DNS, rede, porta e serviço.
3. Leia logs, memória, disco e processos.
4. Evite apagar evidências.
5. Isole o componente defeituoso.
6. Restaure uma versão saudável se necessário.
7. Documente causa, impacto e prevenção.