# امنیت سرور مجازی و سخت‌کردن لینوکس

- پیوند: https://negarnovin.com/vps-security-linux-hardening/
- منتشرشده: 2026-07-12T10:18:34+00:00
- نویسنده: نگارنوین

💬 پاسخ کوتاه

امنیت سرور مجازی و سخت‌کردن لینوکس [caption id="attachment_37321" align="aligncenter"
width="۱۰۲۴"] امنیت سرور مجازی و سخت‌کردن لینوکس[/caption] هر سرور مجازی از همان
لحظه‌ای که روشن و به اینترنت متصل می‌شود، هدف اسکن‌های خودکار و تلاش‌های ورود غیرمجاز
قرار می‌گیرد؛ این موضوع ربطی به معروف یا کوچک بودن سایت شما ندارد. نتیجه‌ی یک سرور
ناامن می‌تواند از افت شدید عملکرد (به‌خاطر ماینینگ رمزارز توسط مهاجم) تا سرقت داده،
بلاک‌شدن IP و از دست رفت…

به روزرسانی شده در ۲۶ مهر ۱۴۰۵

# امنیت سرور مجازی و سخت کردن لینوکس

[⌊امنیت سرور مجازی و سخت‌کردن لینوکس⌉⌊امنیت سرور مجازی و سخت‌کردن لینوکس⌉[

امنیت سرور مجازی و سخت کردن لینوکس

هر سرور مجازی از همان لحظه ای که روشن و به اینترنت متصل می شود، هدف اسکن های خودکار
و تلاش های ورود غیرمجاز قرار می گیرد؛ این موضوع ربطی به معروف یا کوچک بودن سایت 
شما ندارد. نتیجه ی یک سرور ناامن می تواند از افت شدید عملکرد (به خاطر ماینینگ رمزارز
توسط مهاجم) تا سرقت داده، بلاک شدن IP و از دست رفتن کامل داده باشد. خبر خوب این 
است که با چند تنظیم اصولی، می توانید بیشترین ریسک های رایج را از بین ببرید. در این
راهنما، ۱۰ گام عملی سخت کردن (Hardening) امنیت لینوکس را به همراه دستورات آماده 
بررسی می کنیم.

[**سرور مجازی لینوکس**](https://negarnovin.com/%D8%B3%D8%B1%D9%88%D8%B1-%D9%85%D8%AC%D8%A7%D8%B2%DB%8C-%D9%84%DB%8C%D9%86%D9%88%DA%A9%D8%B3/)

## گام ۱: به روزرسانی مداوم سیستم

بسیاری از حملات موفق، از آسیب پذیری های شناخته شده و اصلاح نشده سوءاستفاده می کنند.
اولین و ساده ترین قدم امنیتی، بروز نگه داشتن سیستم است:

    ```bash
    sudo apt update && sudo apt upgrade -y
    ```

برای توزیع های مبتنی بر RHEL/CentOS:

    ```bash
    sudo dnf update -y
    ```

## گام ۲: ساخت کاربر غیر روت و غیرفعال کردن ورود Root

استفاده ی مستقیم از کاربر root برای کارهای روزمره، ریسک بزرگی است؛ چون هر آسیب پذیری
در یک سرویس، دسترسی کامل به سرور می دهد. یک کاربر جدید با دسترسی sudo بسازید:

[**سرور لینوکس**](https://negarnovin.com/%D8%B3%D8%B1%D9%88%D8%B1-%D9%85%D8%AC%D8%A7%D8%B2%DB%8C-%D9%84%DB%8C%D9%86%D9%88%DA%A9%D8%B3/)

    ```bash
    sudo adduser myuser
    sudo usermod -aG sudo myuser
    ```

سپس در فایل `/etc/ssh/sshd_config` مقدار زیر را تنظیم کنید:

    ```
    PermitRootLogin no
    ```

⚠️ پیش از اعمال این تغییر، حتماً با کاربر جدید و از طریق یک ترمینال دیگر لاگین را
تست کنید تا از سرور قفل نشوید.

## گام ۳: احراز هویت با کلید SSH به جای پسورد

ورود با پسورد در برابر حملات Brute-force آسیب پذیر است. کلید SSH امنیت به مراتب 
بالاتری فراهم می کند:

    ```bash
    # روی سیستم خودتان
    ssh-keygen -t ed25519 -C "myuser@myserver"
    ssh-copy-id myuser@SERVER_IP
    ```

بعد از اطمینان از این که ورود با کلید کار می کند، در `/etc/ssh/sshd_config` این 
خط را تنظیم کنید:

    ```
    PasswordAuthentication no
    ```

و در پایان: `sudo systemctl restart sshd`

## گام ۴: تغییر پورت پیش فرض SSH (اختیاری اما مؤثر)

تغییر پورت ۲۲ به یک پورت دیگر، حمله را متوقف نمی کند، اما حجم زیادی از اسکن های 
خودکار و تلاش های بی هدف بات ها را حذف می کند:

    ```
    Port 2222
    ```

⚠️ نکته ی مهم: پیش از بستن نشست فعلی، حتماً در یک ترمینال جدید با پورت جدید تست 
اتصال بگیرید و مطمئن شوید فایروال هم به روزرسانی شده (گام بعدی).

## گام ۵: فعال سازی و پیکربندی فایروال (UFW)

    ```bash
    sudo ufw allow 2222/tcp # یا: sudo ufw allow OpenSSH اگر پورت را عوض نکرده اید
    sudo ufw enable
    sudo ufw status
    ```

⚠️ ترتیب دستورات مهم است: همیشه اول پورت SSH را Allow کنید و بعد فایروال را Enable
کنید؛ برعکس این ترتیب می تواند شما را کاملاً از سرور قفل کند.

## گام ۶: نصب و تنظیم Fail2Ban

Fail2Ban به صورت خودکار IPهایی را که چندین بار تلاش ناموفق برای ورود داشته اند، 
مسدود می کند:

    ```bash
    sudo apt install fail2ban -y
    sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
    sudo systemctl enable --now fail2ban
    ```

در فایل `jail.local` می توانید مقادیر `maxretry` و `bantime` را برای jail مربوط 
به `[sshd]` متناسب با نیازتان تنظیم کنید.

[⌊امنیت سرور مجازی و سخت‌کردن لینوکس⌉⌊امنیت سرور مجازی و سخت‌کردن لینوکس⌉[

امنیت سرور مجازی و سخت کردن لینوکس

## گام ۷: غیرفعال سازی سرویس ها و پورت های غیرضروری

هر سرویس فعال، یک نقطه ی ورود بالقوه اضافه است. سرویس های در حال اجرا را بررسی و
موارد غیرضروری را غیرفعال کنید:

    ```bash
    sudo systemctl list-unit-files --type=service --state=enabled
    sudo systemctl disable --now SERVICE_NAME
    ```

## گام ۸: به روزرسانی خودکار امنیتی

برای این که وصله های امنیتی حیاتی حتی بدون دخالت شما اعمال شوند:

    ```bash
    sudo apt install unattended-upgrades -y
    sudo dpkg-reconfigure --priority=low unattended-upgrades
    ```

## گام ۹: مانیتورینگ لاگ ها و هشدار

دیدن به موقع رفتار غیرعادی، زمان واکنش شما را کوتاه می کند:

    ```bash
    sudo apt install logwatch -y
    ```

برای نیاز به سطح دقیق تری از ثبت رویدادها (مثلاً چه کسی چه فایلی را تغییر داده)،
نصب و پیکربندی `auditd` هم توصیه می شود.

## گام ۱۰: بک آپ منظم و خودکار

سخت کردن امنیتی، ریسک را کاهش می دهد اما آن را صفر نمی کند. بک آپ منظم و خارج از
سرور (نه فقط روی خود سرور) آخرین خط دفاعی شماست. از قابلیت اسنپ شات پنل میزبانی 
تان یا ابزارهایی مثل `rsync`/`cron` برای زمان بندی بک آپ خودکار استفاده کنید.

### بونوس: احراز هویت دومرحله ای برای SSH

برای یک لایه ی امنیتی اضافه، می توانید با نصب `libpam-google-authenticator` احراز
هویت دومرحله ای (2FA) را هم روی SSH فعال کنید. این گام اختیاری است، اما برای سرورهای
حساس بسیار توصیه می شود.

## نکته مهم: امنیت فقط به تنظیمات نرم افزاری خلاصه نمی شود

هرچقدر هم سیستم عامل را سخت گیرانه پیکربندی کنید، بخشی از داستان امنیت به زیرساخت
شبکه ای برمی گردد که VPS شما روی آن قرار دارد. در زمان حملات یا حتی افزایش ناگهانی
و مشکوک ترافیک، پلن هایی با سقف پهنای باند محدود، علاوه بر ریسک امنیتی، شما را با
هزینه ی غیرمنتظره ی عبور از سقف مصرف هم روبه رو می کنند. با [سرور مجازی ترافیک نامحدود](https://negarnovin.com/unlimited-traffic-virtual-server/)،
حداقل این نگرانی مالی از معادله حذف می شود و می توانید تمرکزتان را کامل روی تقویت
امنیت بگذارید.

## جمع بندی و چک لیست نهایی

 * [ ] سیستم را به روز نگه دارید
 * [ ] یک کاربر غیر روت بسازید و ورود Root را غیرفعال کنید
 * [ ] از کلید SSH به جای پسورد استفاده کنید
 * [ ] پورت SSH را تغییر دهید (اختیاری)
 * [ ] فایروال را با ترتیب درست فعال کنید
 * [ ] Fail2Ban نصب و تنظیم کنید
 * [ ] سرویس های غیرضروری را غیرفعال کنید
 * [ ] به روزرسانی خودکار امنیتی را فعال کنید
 * [ ] لاگ ها را مانیتور کنید
 * [ ] بک آپ منظم و خودکار داشته باشید

اگر می خواهید این چک لیست را روی زیرساختی پیاده کنید که نگرانی سقف ترافیک را هم 
از ابتدا حذف کرده باشد، [سرور مجازی ترافیک نامحدود نگارنوین](https://negarnovin.com/unlimited-traffic-virtual-server/)
گزینه ی مناسبی برای شروع است.

## سوالات متداول

**۱. آیا تغییر پورت SSH واقعاً لازم است؟** اجباری نیست، اما حجم قابل توجهی از اسکن
های خودکار بات ها را حذف می کند. مهم ترین لایه های امنیتی همچنان کلید SSH، فایروال
و Fail2Ban هستند.

**۲. آیا نصب آنتی ویروس روی سرور لینوکسی لازم است؟** برای اغلب سرورهای لینوکسی معمولی،
رعایت اصول این راهنما (به روزرسانی، فایروال، دسترسی محدود) اولویت بسیار بالاتری 
نسبت به آنتی ویروس دارد. برای سرورهایی که فایل کاربران دیگر را هم میزبانی می کنند(
مثل هاست اشتراکی)، ابزارهایی مثل ClamAV می تواند مفید باشد.

**۳. بعد از این تنظیمات، سرور من صددرصد امن است؟** خیر؛ امنیت صددرصدی وجود ندارد.
این گام ها بخش بزرگی از ریسک های رایج را حذف می کنند، اما مانیتورینگ مداوم، به روزرسانی
و بک آپ باید همیشه ادامه دار باشند.

**۴. آیا این تنظیمات روی هر توزیع لینوکسی یکسان است؟** دستورات مدیریت بسته (مثل 
apt یا dnf) بین توزیع ها فرق دارد، اما مفاهیم اصلی (کلید SSH، فایروال، Fail2Ban،
بک آپ) در همه ی توزیع ها یکسان است.

## سوالات متداول

امنیت سرور مجازی برای چه کسانی مناسب است؟

جمع بندی و چک لیست نهایی

 [ ] سیستم را به روز نگه دارید
 [ ] یک کاربر غیر روت بسازید و ورود Root را غیرفعال
کنید [ ] از کلید SSH به جای پسورد استفاده کنید [ ] پورت SSH را تغییر دهید (اختیاری)[]
فایروال را با ترتیب درست فعال کنید [ ] Fail2Ban نصب و تنظیم کنید [ ] سرویس های غیرضروری
را غیرفعال کنید [ ] به روزرسانی خودکار امنیتی را فعال کنید [ ] لاگ ها را مانیتور
کنید [ ] بک آپ منظم و خودکار داشته باشید

اگر می خو…

### 📌 خلاصه

آموزش امنیت سرور مجازی و سخت کردن لینوکس (Linux Hardening) با ۱۰ گام عملی و دستورات
آماده: از غیرفعال کردن ورود Root تا فایروال، Fail2Ban

## 🔗 مطالب مرتبط

 * [سرور مجازی لینوکس](https://negarnovin.com/%d8%b3%d8%b1%d9%88%d8%b1-%d9%85%d8%ac%d8%a7%d8%b2%db%8c-%d9%84%db%8c%d9%86%d9%88%da%a9%d8%b3/)
 * [سرور مجازی ثبت نام خودرو](https://negarnovin.com/%d8%b3%d8%b1%d9%88%d8%b1-%d9%85%d8%ac%d8%a7%d8%b2%db%8c-%d8%ab%d8%a8%d8%aa-%d9%86%d8%a7%d9%85-%d8%ae%d9%88%d8%af%d8%b1%d9%88/)
 * [سرور مجازی اپل آیدی](https://negarnovin.com/%d8%b3%d8%b1%d9%88%d8%b1-%d9%85%d8%ac%d8%a7%d8%b2%db%8c-%d8%a7%d9%be%d9%84-%d8%a2%db%8c%d8%af%db%8c/)
 * [سرور مجازی germany](https://negarnovin.com/%d8%b3%d8%b1%d9%88%d8%b1-%d9%85%d8%ac%d8%a7%d8%b2%db%8c-germany/)
 * [سرور مجازی](https://negarnovin.com/%d8%b3%d8%b1%d9%88%d8%b1-%d9%85%d8%ac%d8%a7%d8%b2%db%8c/)