Базовый чек-лист настройки чистого Debian 12 на VPS

Каждый раз при развертывании нового VPS на Debian 12 Bookworm выполняю стандартный набор базовых шагов по безопасности и настройке сетевого стека.

1. Управление доступом через SSH

Сразу отключаем вход по паролю в файле /etc/ssh/sshd_config.d/50-cloud-init.conf или основном sshd_config:

PasswordAuthentication no
PermitRootLogin prohibit-password
KbdInteractiveAuthentication no

Применяем изменения: systemctl restart ssh.

2. Включение алгоритма BBR для TCP

Debian 12 идет с ядром 6.1+, в котором BBR поддерживается из коробки. Добавляем две строки в /etc/sysctl.conf:

net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr

Применяем параметры командой sysctl -p и проверяем статус через sysctl net.ipv4.tcp_congestion_control.

3. Базовый брандмауэр UFW

Важно открыть не только TCP, но и UDP на 443 порту, если планируется использование протоколов поверх QUIC (HTTP/3, Hysteria 2):

apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow 443/udp
ufw enable