Linux & DevOps Security • Data publikacji: 2026-08-27 • Czas czytania: 6 minut

Hardening Serwerów Linux, Docker & Nginx HTTP/3: Kompletna Procedura Zabezpieczania Środowiska Produkcyjnego

Pozostawienie domyślnej konfiguracji świeżego serwera Linux (Ubuntu/Debian) to prosta droga do przejęcia maszyny przez zautomatyzowane boty skanujące port SSH. W tym przewodniku omawiamy kluczowe kroki inżynierskie, które wdrażamy w VextorNet, aby uzyskać bezkompromisowe bezpieczeństwo i maksymalną wydajność.

Autoryzacja Kluczami Ed25519 & Wyłączenie Logowania Hasłem

Klucze kryptograficzne oparte na krzywych eliptycznych (Ed25519) zapewniają wyższy poziom ochrony i szybszą autoryzację niż tradycyjne klucze RSA. Pierwszym krokiem jest zmiana portu SSH oraz całkowite zablokowanie logowania przy użyciu hasła oraz konta root.

# Wygenerowanie bezpiecznego klucza Ed25519 na stacji roboczej:
ssh-keygen -t ed25519 -C "admin@vextornet.pl"

# Konfiguracja pliku /etc/ssh/sshd_config na serwerze VPS:
Port 2222
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication no
                

Konfiguracja Zapory UFW & Ochrona przed Brute-Force (Fail2ban)

Zapora UFW (Uncomplicated Firewall) powinna domyślnie odrzucać cały ruch przychodzący, zezwalając jedynie na ściśle określone porty: nowy port SSH (np. 2222) oraz porty aplikacji webowej (80 HTTP i 443 HTTPS/UDP dla HTTP/3). Usługa Fail2ban automatycznie blokuje adresy IP po kilku nieudanych próbach połączenia.

# Reguły domyślne zapory UFW:
ufw default deny incoming
ufw default allow outgoing

# Odblokowanie bezpiecznych portów:
ufw allow 2222/tcp comment 'SSH Custom'
ufw allow 80/tcp comment 'HTTP Nginx'
ufw allow 443/tcp comment 'HTTPS TLS'
ufw allow 443/udp comment 'HTTP/3 QUIC'
ufw enable
                

Izolacja Usług w Kontenerach Docker Compose

Instalacja baz danych (MySQL/PostgreSQL) oraz silników PHP bezpośrednio na serwerze głównym zwiększa podatność systemu w przypadku błędu w aplikacji. Izolacja usług w dedykowanych sieciach wirtualnych typu bridge uniemożliwia bezpośredni dostęp do bazy z zewnątrz (port bazy nie jest mapowany do hosta, a jedynie do sieci wewnętrznej Dockera).

# Fragment architektury docker-compose.yml z siecią wewnętrzną:
services:
  db:
    image: mariadb:11.4
    networks:
      - internal-net
    restart: unless-stopped
    # Brak sekcji ports: port 3306 pozostaje niewidoczny dla świata!

networks:
  internal-net:
    internal: true
                

Nginx Reverse Proxy z HTTP/3 QUIC & Kompresją Brotli

Nowoczesny serwer Nginx pełni rolę bramy brzegowej: terminacji kluczy TLS (z obsługą wyłącznie TLS 1.2 i TLS 1.3), kompresji Brotli/Gzip oraz proxy przekazującego ruch do kontenerów aplikacji. Wdrożenie protokołu HTTP/3 (QUIC) drastycznie skraca czas TTFB dla połączeń na urządzeniach mobilnych.

# Obsługa protokołu HTTP/3 QUIC w bloku serwera Nginx:
listen 443 quic reuseport;
listen 443 ssl;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;

add_header Alt-Svc 'h3=":443"; ma=86400';
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
                

Chcesz, abyśmy wykonali pełny hardening Twojego serwera VPS?

Jednorazowy setup i zabezpieczenie od 450 zł netto lub stała miesięczna administracja ze wsparciem SLA < 1h.

Sprawdź Ofertę VPS →