48. Почему я отказался от root-доступа по SSH и использую su: безопасная схема для VPS

от

При настройке VPS многие сразу включают вход под root по SSH или ставят sudo.
Я пошёл другим путём — и считаю его более безопасным и логичным, особенно для личного сервера.

В этой статье разберу свою схему доступа, её плюсы и минусы, и объясню, почему она хорошо подходит для VPS с сайтами и сервисами вроде WireGuard.

Как устроен доступ на моём сервере

Текущая схема выглядит так:

  • ❌ Вход по SSH под root запрещён
  • ✔ По SSH можно войти только под обычным пользователем
  • ✔ Получение прав администратора — только через su -
  • 🔑 Root-доступ возможен только при знании root-пароля
  • ❌ sudo не используется

То есть:

SSH → обычный пользователь → su → root

Почему root по SSH — плохая идея

Root — самый очевидный логин для атак:

  • Боты в первую очередь пытаются подключаться как root
  • Даже сложный пароль — не идеальная защита
  • Один успешный вход = полный контроль над системой

Поэтому отключение root-доступа по SSH — это базовая мера безопасности.

Чем схема SSH → su безопаснее

1️⃣ Root вообще не доступен извне

  • Нельзя войти как root@server
  • Даже при подборе пароля — вход невозможен

2️⃣ Два уровня защиты

Даже если злоумышленник:

  • узнал пароль обычного пользователя
    он всё равно не получит root, пока не знает отдельный root-пароль.

3️⃣ Нет sudo — меньше рисков

  • Нет уязвимостей sudo
  • Нет случайных команд вроде: sudo rm -rf /
  • Каждое повышение прав — осознанное действие

А как же удобство?

Да, есть небольшой минус:

  • Нужно вручную вводить: su -
  • И вводить root-пароль

Но для личного VPS это не проблема, а плата за безопасность.

Подходит ли такая схема для WireGuard?

✔ Полностью подходит

WireGuard спокойно настраивается и работает так:

ssh user@server
su -
apt install wireguard
nano /etc/wireguard/wg0.conf
wg-quick up wg0

Никакой sudo не нужен.

Сравнение популярных схем доступа

СхемаБезопасностьУдобство
Root по SSH❌ низкая✔ высокая
SSH + sudo✔ хорошая✔✔ высокая
SSH + su (как у меня)✔✔ высокая⚠ средняя

Для одного владельца сервера последний вариант — оптимальный.

Когда стоит оставить именно так

✔ VPS используется одним человеком
✔ Нет необходимости давать доступ другим
✔ Root-пароль сложный и сохранён надёжно
✔ Важна безопасность, а не максимальное удобство

Когда лучше выбрать sudo

  • Сервером пользуются несколько человек
  • Часто используются автоматические скрипты
  • Нужна совместимость с типовыми инструкциями

sudo — не плохо, просто другой подход.

Итог

Схема:

SSH → обычный пользователь → su → root

— это:

  • безопасно
  • понятно
  • классически по-Unix
  • без лишних компонентов

Я осознанно оставил именно её — и считаю это правильным решением для личного VPS.

💡 Примечание

Root-вход по SSH при такой схеме должен быть отключён:

PermitRootLogin no
(nano /etc/ssh/sshd_config)

Это нормально и правильно.

SSH-ключи

Оставьте комментарий