Configurar un VPS

### © Aaron (Iso) Pescasio / www.apescasio.fr ###

### 1. Script para preparar y asegurar un VPS ###

### Prerrequisitos: -VPS Linux, -conexión SSH, -acceso 'root' ###

### Después de conectar al VPS con SSH, inicio sesión como 'root': 'sudo su' ###

### Actualizar la lista de paquetes ###

apt update

### Actualizar los paquetes ###

apt upgrade -y

### Instalar todos los paquetes necesarios para asegurar mi VPS y alojar mi sitio web ###

apt install -y wget ufw fail2ban nginx ### (fail2ban, mantengo la configuración por defecto) ###

### Crear el archivo de log de fail2ban ###

touch /var/log/auth_fail2ban.log

### Crear una cárcel específica para SSH ###

cat <<EOL > /etc/fail2ban/jail.local
[sshd]
enabled = true
port = ssh
logpath = /var/log/auth_fail2ban.log
maxretry = 5
bantime = 3600
EOL

### Reiniciar el servicio fail2ban ###

systemctl enable fail2ban && systemctl restart fail2ban

### Cambiar la contraseña para la cuenta 'root' ###

echo "Ingrese una nueva contraseña para la cuenta 'root'"
passwd

### Actualizar la zona horaria del VPS ###

timedatectl set-timezone Europe/Paris

### Actualizar mi .bashrc (lo que agregué: mis atajos, cambios al comando history para mostrar la fecha junto a los comandos ejecutados) ###

#cd ~
#mv /etc/bash.bashrc /etc/bash.bashrc.backup
#wget -O /etc/bash.bashrc https://raw.githubusercontent.com/ApecioU/configfiles/main/bash.bashrc
#source /etc/bash.bashrc

### Cambiar el puerto de escucha SSH por defecto ###

while true; do
    read -p "Ingrese un número entre 49152 y 65535: " port
    if [[ "$port" -ge 49152 && "$port" -le 65535 ]]; then ### Para seguridad adicional, use un número entre 49152 y 65535. ###
        echo "Puerto válido: $port"
        break
    else
        echo "Puerto inválido. Por favor ingrese un número entre 49152 y 65535."
    fi
done

sed -i "s/^#Port 22/Port $port/" /etc/ssh/sshd_config

### Note que necesitará especificar el nuevo puerto para cada conexión SSH a su servidor, ej.: ###
### ssh usuario@VPS_IPv4 -p NuevoPuerto ###

### Deshabilitar el login 'root' en la configuración SSH ###

sed -i 's/^#PermitRootLogin prohibit-password/PermitRootLogin no/' /etc/ssh/sshd_config

### Desconectar al usuario después de 120s de inactividad ###

sed -i 's/^#ClientAliveInterval 0/ClientAliveInterval 120/' /etc/ssh/sshd_config

### Definir una variable para crear una cuenta personal ###

read -p "Ingrese un nombre de usuario para crear una cuenta personal: " perso

### Modificar la configuración SSH para especificar los nombres de usuario permitidos para usar SSH; todos los demás usuarios son bloqueados ###

echo "AllowUsers $perso" | sudo tee -a /etc/ssh/sshd_config

### Reiniciar el servicio para aplicar cambios ###

systemctl restart sshd

### Antes de habilitar el firewall ufw, permitir conexiones SSH en el puerto seleccionado ###

ufw allow $port/tcp && ufw allow 'Nginx Full'  ### Este comando permite conexiones SSH y HTTP+S en los puertos seleccionados; todos los demás puertos son bloqueados :) ###

### Corregir el problema 'Invalid argument' con NGINX en la primera instalación ###

mkdir /etc/systemd/system/nginx.service.d
printf "[Service]\nExecStartPost=/bin/sleep 0.1\n" > /etc/systemd/system/nginx.service.d/override.conf
systemctl daemon-reload
systemctl restart nginx

### Ahora podemos habilitar el firewall después de permitir el nuevo puerto SSH ###

ufw enable

### Crear una cuenta personal y agregarla al grupo 'sudo' ###

sudo useradd -m -s /bin/bash -G sudo $perso && echo "Ingrese una contraseña para $perso" && passwd $perso && sudo usermod -c "$perso" $perso

### Iniciar sesión con la cuenta personal ###

su $perso