Securizar Ubuntu Server - Historial de revisiones

Guzman en 22:16 22 feb 2026

2026-02-22T22:16:21Z

← Revisión anterior		Revisión del 22:16 22 feb 2026
Línea 232:		Línea 232:
	[ "$ENABLED" = "0" ] \|\| exit 0		[ "$ENABLED" = "0" ] \|\| exit 0
	</syntaxhighlight>		</syntaxhighlight>

			[[Categoría:Notas]]

Guzman en 22:10 22 feb 2026

2026-02-22T22:10:52Z

@@ Línea 201: / Línea 201: @@
 == Configurar mensaje de bienvenida ==
-* Añadir mensaje
+* Añadir mensaje personalizado:
 <syntaxhighlight lang="Bash">vi /etc/update-motd.d/00-header</syntaxhighlight>
 <syntaxhighlight lang="text">
@@ Línea 215: / Línea 215: @@
 </syntaxhighlight>
 Nota: puedes usar un generador de ASCI Art como [https://patorjk.com/software/taag/#p=display&f=ANSI+Shadow&t=CULTURETAS&x=none&v=4&h=4&w=80&we=false Patorjk].

Guzman en 22:06 22 feb 2026

2026-02-22T22:06:50Z

← Revisión anterior		Revisión del 22:06 22 feb 2026
Línea 177:		Línea 177:
	[ 2] 22/tcp (v6) ALLOW IN Anywhere (v6)		[ 2] 22/tcp (v6) ALLOW IN Anywhere (v6)
	</syntaxhighlight>		</syntaxhighlight>

			== Configurar configuraciones automáticas ==
			Vamos a configurar el servidor para que instale automáticamente actualizaciones del OS.

			* Instalar
			<syntaxhighlight lang="Bash">apt install unattended-upgrades</syntaxhighlight>

			* Configuración
			<syntaxhighlight lang="Bash">vi /etc/apt/apt.conf.d/10periodic</syntaxhighlight>
			<syntaxhighlight lang="text">
			APT::Periodic::Update-Package-Lists "1";
			APT::Periodic::Download-Upgradeable-Packages "1";
			APT::Periodic::AutocleanInterval "7";
			APT::Periodic::Unattended-Upgrade "1";
			</syntaxhighlight>

			== Configurar sudo sin contraseña ==
			<syntaxhighlight lang="Bash">vi /etc/sudoers.d/90-cloud-init-users</syntaxhighlight>
			<syntaxhighlight lang="text">
			# User rules for guzman
			guzman ALL=(ALL) NOPASSWD:ALL
			</syntaxhighlight>

			== Configurar mensaje de bienvenida ==
			* Añadir mensaje
			<syntaxhighlight lang="Bash">vi /etc/update-motd.d/00-header</syntaxhighlight>
			<syntaxhighlight lang="text">
			#printf "Welcome to %s (%s %s %s)\n" "$DISTRIB_DESCRIPTION" "$(uname -o)" "$(uname -r)" "$(uname -m)"
			printf "WELCOME TO WEB SERVER:\n"
			printf " ██████╗██╗ ██╗██╗ ████████╗██╗ ██╗██████╗ ███████╗████████╗ █████╗ ███████╗\n"
			printf "██╔════╝██║ ██║██║ ╚══██╔══╝██║ ██║██╔══██╗██╔════╝╚══██╔══╝██╔══██╗██╔════╝\n"
			printf "██║ ██║ ██║██║ ██║ ██║ ██║██████╔╝█████╗ ██║ ███████║███████╗\n"
			printf "██║ ██║ ██║██║ ██║ ██║ ██║██╔══██╗██╔══╝ ██║ ██╔══██║╚════██║\n"
			printf "╚██████╗╚██████╔╝███████╗██║ ╚██████╔╝██║ ██║███████╗ ██║ ██║ ██║███████║\n"
			printf " ╚═════╝ ╚═════╝ ╚══════╝╚═╝ ╚═════╝ ╚═╝ ╚═╝╚══════╝ ╚═╝ ╚═╝ ╚═╝╚══════╝\n"
			printf " Get out of here bastad!!!\n"
			</syntaxhighlight>
			Nota: puedes usar un generador de ASCI Art como [https://patorjk.com/software/taag/#p=display&f=ANSI+Shadow&t=CULTURETAS&x=none&v=4&h=4&w=80&we=false Patorjk].

Guzman en 21:47 22 feb 2026

2026-02-22T21:47:25Z

← Revisión anterior		Revisión del 21:47 22 feb 2026
Línea 161:		Línea 161:

	== Configurar Firewall ==		== Configurar Firewall ==
			* Añadir regla para SSH (22/tcp)
			<syntaxhighlight lang="Bash">ufw allow 22/tcp</syntaxhighlight>

			* Activar Firewall
			<syntaxhighlight lang="Bash">ufw enable</syntaxhighlight>

			* Comprobar reglas
			<syntaxhighlight lang="Bash">
			ufw status numbered
			Status: active

			To Action From
			-- ------ ----
			[ 1] 22/tcp ALLOW IN Anywhere
			[ 2] 22/tcp (v6) ALLOW IN Anywhere (v6)
			</syntaxhighlight>

Guzman en 21:43 22 feb 2026

2026-02-22T21:43:48Z

Guzman en 21:41 22 feb 2026

2026-02-22T21:41:10Z

← Revisión anterior		Revisión del 21:41 22 feb 2026
Línea 126:		Línea 126:
	AcceptEnv LANG LC_*		AcceptEnv LANG LC_*
	Subsystem sftp /usr/lib/openssh/sftp-server		Subsystem sftp /usr/lib/openssh/sftp-server
			</syntaxhighlight>

			* Desactivar acceso con contraseña:
			Para desactivar el acceso con contraseña (sólo claves criptográficas) deberías bastar con la directiva: "PasswordAuthentication no".
			Sin embargo, puede hacer alguna algún fichero adicional que lo contradiga:
			<syntaxhighlight lang="Bash">vi /etc/ssh/sshd_config.d/50-cloud-init.conf</syntaxhighlight>
			<syntaxhighlight lang="text">
			#PasswordAuthentication yes
	</syntaxhighlight>		</syntaxhighlight>

Guzman en 21:34 22 feb 2026

2026-02-22T21:34:16Z

@@ Línea 121: / Línea 121: @@
 PrintMotd no
 TCPKeepAlive yes
 ClientAliveInterval 300
 ClientAliveCountMax 12
 AcceptEnv LANG LC_*
 Subsystem       sftp    /usr/lib/openssh/sftp-server
 </syntaxhighlight>

Guzman en 21:25 22 feb 2026

2026-02-22T21:25:31Z

← Revisión anterior		Revisión del 21:25 22 feb 2026
Línea 89:		Línea 89:
	<syntaxhighlight lang="Bash">usermod -a -G SSHallow guzman</syntaxhighlight>		<syntaxhighlight lang="Bash">usermod -a -G SSHallow guzman</syntaxhighlight>
	<syntaxhighlight lang="Bash">usermod -a -G SSHallow root</syntaxhighlight>		<syntaxhighlight lang="Bash">usermod -a -G SSHallow root</syntaxhighlight>

			=== Comprobar que puedes acceder por SSH ===
			Desde otra terminal:
			<syntaxhighlight lang="Bash">ssh -i ~/.ssh/culturetas.net.key guzman@culturetas.net</syntaxhighlight>

			=== Configurar servidor SSH ===
			* Backup fichero de configuració SSH:
			<syntaxhighlight lang="Bash">cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.$(date +%Y%m%d)</syntaxhighlight>

			* Editar fichero de configuración SSH:
			<syntaxhighlight lang="Bash">vi /etc/ssh/sshd_config</syntaxhighlight>
			<syntaxhighlight lang="text">
			Include /etc/ssh/sshd_config.d/*.conf
			Port 22
			AddressFamily any
			ListenAddress 0.0.0.0
			ListenAddress ::
			LoginGraceTime 2m
			PermitRootLogin no
			StrictModes yes
			MaxAuthTries 3
			MaxSessions 10
			PubkeyAuthentication yes
			AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2
			PasswordAuthentication no
			PermitEmptyPasswords no
			AllowGroups SSHallow
			KbdInteractiveAuthentication no
			UsePAM yes
			X11Forwarding yes
			PrintMotd no
			TCPKeepAlive yes
			ClientAliveInterval 300
			ClientAliveCountMax 12
			AcceptEnv LANG LC_*
			Subsystem sftp /usr/lib/openssh/sftp-server
			</syntaxhighlight>

Guzman en 21:11 22 feb 2026

2026-02-22T21:11:09Z

@@ Línea 66: / Línea 66: @@
 <syntaxhighlight lang="Bash">chmod 644 /root/.ssh/culturetas.net.key.pub</syntaxhighlight>
 <syntaxhighlight lang="Bash">chmod 600 /root/.ssh/authorized_keys</syntaxhighlight>
 === Crear grupo SSHallow ===
 Este será el único grupo que puede conectar por SSH.
 <syntaxhighlight lang="Bash">groupadd -r SSHallow</syntaxhighlight>

Guzman en 20:31 22 feb 2026

2026-02-22T20:31:52Z

← Revisión anterior		Revisión del 20:31 22 feb 2026
Línea 45:		Línea 45:
	Reiniar VM:		Reiniar VM:
	<syntaxhighlight lang="Bash">reboot</syntaxhighlight>		<syntaxhighlight lang="Bash">reboot</syntaxhighlight>

			== Instalar fail2fan ==
			Instalar fail2fan para monitorizar logs y bloquear usuarios que intenten ataques de diccionario.
			<syntaxhighlight lang="Bash">apt install fail2ban</syntaxhighlight>

			== Generar claves criptográficas ==
			=== Generar clave ===
			Características:
			* Tipo: Curva Elíptica
			* Curva: ed25519
			* Rondas: 512
			<syntaxhighlight lang="Bash">ssh-keygen -t ed25519 -a 512 -C culturetas.net -f culturetas.net.key</syntaxhighlight>

			=== Desplegar clave en usuario root ===
			<syntaxhighlight lang="Bash">mkdir ~/.ssh</syntaxhighlight>
			<syntaxhighlight lang="Bash">cp culturetas.net.key culturetas.net.key.pub /root/.ssh/</syntaxhighlight>
			<syntaxhighlight lang="Bash">cat culturetas.net.key.pub >> /root/.ssh/authorized_keys</syntaxhighlight>
			<syntaxhighlight lang="Bash">chmod 700 /root/.ssh/</syntaxhighlight>
			<syntaxhighlight lang="Bash">chmod 600 /root/.ssh/culturetas.net.key</syntaxhighlight>
			<syntaxhighlight lang="Bash">chmod 644 /root/.ssh/culturetas.net.key.pub</syntaxhighlight>
			<syntaxhighlight lang="Bash">chmod 600 /root/.ssh/authorized_keys</syntaxhighlight>

			=== Crear grupo SSHallow ===
			Este será el único grupo que puede conectar por SSH.
			<syntaxhighlight lang="Bash">groupadd -r SSHallow</syntaxhighlight>

← Revisión anterior		Revisión del 21:43 22 feb 2026
Línea 4:		Línea 4:

	== Cambiar contraseña a usuario root ==		== Cambiar contraseña a usuario root ==
	Todos los comandos se ejecutarán como root, a menos que se especifique lo contrario.		* Todos los comandos se ejecutarán como root, a menos que se especifique lo contrario.
	<syntaxhighlight lang="Bash">sudo -i</syntaxhighlight>		<syntaxhighlight lang="Bash">sudo -i</syntaxhighlight>

	Establecer contraseña para root:		* Establecer contraseña para root:
	<syntaxhighlight lang="Bash">passwd root</syntaxhighlight>		<syntaxhighlight lang="Bash">passwd root</syntaxhighlight>

	== Creación de nuevo usuario ==		== Creación de nuevo usuario ==
	Crear un grupo para el usuario:		* Crear un grupo para el usuario:
	<syntaxhighlight lang="Bash">groupadd guzman</syntaxhighlight>		<syntaxhighlight lang="Bash">groupadd guzman</syntaxhighlight>

	Crear usuario para el usuario:		* Crear usuario para el usuario:
	<syntaxhighlight lang="Bash">useradd -d /home/guzman -m -g guzman -s /bin/bash guzman</syntaxhighlight>		<syntaxhighlight lang="Bash">useradd -d /home/guzman -m -g guzman -s /bin/bash guzman</syntaxhighlight>

	Establecer contraseña para el usuario:		* Establecer contraseña para el usuario:
	<syntaxhighlight lang="Bash">passwd guzman</syntaxhighlight>		<syntaxhighlight lang="Bash">passwd guzman</syntaxhighlight>

	Establecer permisos al usuario:		* Establecer permisos al usuario:
	<syntaxhighlight lang="Bash">usermod -a -G adm,cdrom,sudo,dip,lxd guzman</syntaxhighlight>		<syntaxhighlight lang="Bash">usermod -a -G adm,cdrom,sudo,dip,lxd guzman</syntaxhighlight>

	== Borrar usuario por defecto ==		== Borrar usuario por defecto ==
	Se borran usuarios por defecto que puedan suponer un riesgo de ataques de diccionario.		* Se borran usuarios por defecto que puedan suponer un riesgo de ataques de diccionario.
	<syntaxhighlight lang="Bash">userdel -r ubuntu</syntaxhighlight>		<syntaxhighlight lang="Bash">userdel -r ubuntu</syntaxhighlight>

Línea 31:		Línea 31:

	== Actualizar OS ==		== Actualizar OS ==
	Actualizar repositorios:		* Actualizar repositorios:
	<syntaxhighlight lang="Bash">apt update</syntaxhighlight>		<syntaxhighlight lang="Bash">apt update</syntaxhighlight>

	Actualizar OS:		* Actualizar OS:
	<syntaxhighlight lang="Bash">apt dist-upgrade</syntaxhighlight>		<syntaxhighlight lang="Bash">apt dist-upgrade</syntaxhighlight>

	Borrar paquetes sin uso:		* Borrar paquetes sin uso:
	<syntaxhighlight lang="Bash">apt autoremove</syntaxhighlight>		<syntaxhighlight lang="Bash">apt autoremove</syntaxhighlight>

	Limpiar cachés:		* Limpiar cachés:
	<syntaxhighlight lang="Bash">apt autoclean</syntaxhighlight>		<syntaxhighlight lang="Bash">apt autoclean</syntaxhighlight>

	~~Reiniar~~ VM:		* Reiniciar VM:
	<syntaxhighlight lang="Bash">reboot</syntaxhighlight>		<syntaxhighlight lang="Bash">reboot</syntaxhighlight>

	== Instalar fail2fan ==		== Instalar fail2fan ==
	Instalar fail2fan para monitorizar logs y bloquear usuarios que intenten ataques de diccionario.		* Instalar fail2fan para monitorizar logs y bloquear usuarios que intenten ataques de diccionario.
	<syntaxhighlight lang="Bash">apt install fail2ban</syntaxhighlight>		<syntaxhighlight lang="Bash">apt install fail2ban</syntaxhighlight>

Línea 91:		Línea 91:

	=== Comprobar que puedes acceder por SSH ===		=== Comprobar que puedes acceder por SSH ===
	Desde otra terminal:		* Desde otra terminal:
	<syntaxhighlight lang="Bash">ssh -i ~/.ssh/culturetas.net.key guzman@culturetas.net</syntaxhighlight>		<syntaxhighlight lang="Bash">ssh -i ~/.ssh/culturetas.net.key guzman@culturetas.net</syntaxhighlight>

Línea 159:		Línea 159:
	[...]		[...]
	</syntaxhighlight>		</syntaxhighlight>

			== Configurar Firewall ==