comacero_apuntes/content/posts/notes_general/notes_contabo.md

weight	title	date	draft	summary	categories	tags
4	Instalación de VPS en Contabo	2024-10-31T13:56:35+0100	false	Como montar tu propio VPS en Contabo	notes	selfhosted debian fail2ban firewall zsh docker

{{< admonition type=info title="Este artículo ya es válido" open=true >}}

Este artículo no está completo, pero ya es válido para iniciar un servidor VPS.

Intentaremos completar (en algún momento del futuro) las secciones:

• Configuración simple de cortafuegos con nftables
• Configuración simple de cortafuegos con firewalld

En la siguiente entrega veremos como configurar Traefik como proxy inverso.

{{< /admonition >}}

Describimos la instalación de un VPS en el proveedor Contabo, pero quitando los detalles particulares de ese proveedor el resto de los pasos se pueden aplicar a cualquier VPS con Debian 12 Server

Opciones en Contabo

Escogemos un servidor sencillo sin opciones extra.

Sistema Operativo	Debian 12 Server
Tipo de servidor	Cloud VPS 1
Cores	4 vCPU
Memoria	6 Gb RAM
HD	400 Gb

• En el proceso de instalación especificamos que queremos Debian 12
• Es importante recordar la password de root aunque ahora hay una opción para resetearla desde la web de contabo
• ATENCIÓN: Evita usar caracteres especiales y las letras 'y' y 'z' al establecer la password de root. Hay un problema con los LOCALES y con el mapa de teclado que solucionaremos más tarde
• Los snapshots de los servidores se borran a los 30 dias
• En el panel de control web, sección Your Services debajo del botón Manage tenemos la opción para asignarle un nombre al servidor, yo lo hago con todos por que me es más sencillo recordarlos e interpretar las facturas
• Si hay problemas tendrás que recurrir al acceso via VNC. En la web de control de servidores en Contabo tienes la info para conectarte al VNC. Tienes que poner una contraseña para acceder al servidor VNC que contenga mayúsculas, minúsculas, números y tenga EXACTAMENTE ocho caracteres. Puedes dejar el acceso VNC desactivado y activarlo solo cuando lo necesitas.

Instalación

Actualización de paquetes

Con nuestro S.O. escogido (Debian 12) recién instalado en el VPS nos conectamos desde nuestro PC.

ssh -o PreferredAuthentications=password root@<serverIp>

{{< admonition type=tip title="¿Cómo que PreferredAuthentications?" open=false >}}

En mi estación de trabajo (desde donde me conecto a mis servidores) tengo configurado el acceso ssh via claves GPG. Si haces como yo y usas distintas claves por cada servidor remoto es posible se acumulen tantas claves que la conexión falle con el error Too many authentication failures. Esto ocurre por que ssh irá probando todas las claves disponibles para la conexión. Como el servidor aun no está configurado para aceptar claves fallarán todos los intentos de conexión, aparecerá el error y el servidor remoto rechazará la conexión. Para evitar eso usamos la opción:

Preferredauthentications=password

Otra forma de conectarse sería:

ssh -o IdentitiesOnly=yes root@<vps_ip_address>

{{< /admonition >}}

Y hacemos la típica actualización de todos los paquetes:

apt update
apt upgrade

Lo más seguro es que nos de un fallo de locale settings de este estilo

perl: warning: Please check that your locale settings:
	LANGUAGE = "en_GB:en",
	LC_ALL = (unset),
	LC_TIME = "es_ES.UTF-8",
	LC_MONETARY = "es_ES.UTF-8",
	LC_ADDRESS = "es_ES.UTF-8",
	LC_TELEPHONE = "es_ES.UTF-8",
	LC_NAME = "es_ES.UTF-8",
	LC_MEASUREMENT = "es_ES.UTF-8",
	LC_IDENTIFICATION = "es_ES.UTF-8",
	LC_NUMERIC = "es_ES.UTF-8",
	LC_PAPER = "es_ES.UTF-8",
	LANG = "en_GB.UTF-8"
    are supported and installed on your system.

Lo arreglamos en la siguiente sección.

Reconfigurar locales y mapa de teclado

Reconfiguramos los locales:

dpkg-reconfigure locales

Dejamos el en_US.UTF-8 como locale por defecto.

Aparentemente Debian 12 ha pasado a controlar los locales bajo systemd. Parece que hay conflictos, por que el antiguo comando locale nos dice una cosa y el nuevo comando localectl status nos dice otra:

locale -a    # Lista de los locales que he generado con dpkg-reconfigure locales
C
C.utf8
en_GB.utf8
en_US.utf8
es_ES.utf8
eu_ES.utf8
gl_ES.utf8
POSIX

locale       # Antiguo comando para ver la configuración de locales
LANG=en_GB.UTF-8
LANGUAGE=en_GB:en
LC_CTYPE="en_GB.UTF-8"
LC_NUMERIC=es_ES.UTF-8
LC_TIME=es_ES.UTF-8
LC_COLLATE="en_GB.UTF-8"
LC_MONETARY=es_ES.UTF-8
LC_MESSAGES="en_GB.UTF-8"
LC_PAPER=es_ES.UTF-8
LC_NAME=es_ES.UTF-8
LC_ADDRESS=es_ES.UTF-8
LC_TELEPHONE=es_ES.UTF-8
LC_MEASUREMENT=es_ES.UTF-8
LC_IDENTIFICATION=es_ES.UTF-8
LC_ALL=

localectl status       # Nuevo comando para ver la configuración de locales
System Locale: LANG=en_US.UTF-8
               LANGUAGE=en_GB:en
    VC Keymap: (unset)
   X11 Layout: de
    X11 Model: pc105

En cualquier caso ya no nos aparecerán más errores de locales al hacer instalaciones de paquetes, pero tenemos que solucionar también el problema del mapa de teclado que nos interfiere al conectarnos via VNC desde la página web de administración de Contabo. Para ello ejecutamos dpkg-reconfigure keyboard-configuration, escogiendo las opciones (dependen del teclado que uses):

• Keyboard model: Generic 105-key PC
• Country of origin: Spanish
• Keyboard Layout: Spanish
• Altgrn key: Default
• Compose key: No compose key

Después de reconfigurar ya tendremos el mapa correcto :

localectl status
System Locale: LANG=en_US.UTF-8
               LANGUAGE=en_GB:en
    VC Keymap: (unset)
   X11 Layout: es
    X11 Model: pc105

Con esto no deberíamos tener ya problemas para hacer login con el VNC sea cual sea la contraseña de nuestro usuario root.

{{< admonition type=info title="Contraseñas" open=true >}}

Una vez que compruebes que el teclado funciona bien via VNC y que la configuración de locales ya no te da problema puedes cambiar las contraseñas y poner la que quieras. Pero en los siguientes pasos vamos a prohibir el acceso de root y vamos a exigir que el acceso por ssh se haga con claves GPG. Eso si, por VNC desde la página de administración de Contabo, siempre podrás entrar como root.

{{< /admonition >}}

Instalación de git y etckeeper

git lo uso continuamente, etckeeper se encarga de mantener todos los cambios que haya en el directorio /etc/ de nuestro servidor controladas con git. A mi ya me ha resultado muy útil para resolver un par de problemas causados por cambios de configuración o instalación de paquetes. Uso el etckeeper estrictamente en local, nunca he definido un remote para este repo de git.

git-crypt y gnupg son una manera de almacenar información confidencial en un repo de git. Aunque gnupg vale para muchas más cosas y merece la pena tenerlo instalado.

Instalamos git y etckeeper (los siguientes comandos hay que ejecutarlos como root para tener el git configurado para etckeeper):

apt install git
apt install git-crypt
apt install gnupg
git config --global user.email "whatever@mail.com"  # Pon el correo que te convenga
git config --global user.name "Name Surname"        # Pon el nombre de usuario que tu quieras
apt install etckeeper

Instalación de utilidades

Bibliotecas de compresión:

apt install zip unzip unace bzip2 lzop p7zip p7zip-full

Utilidades:

apt install most mc tree tmux aptitude rsync fasd

Instalamos sudo:

apt install sudo

Instalamos ufw

apt install ufw

Instalamos zsh:

apt install zsh

Instalamos emacs:

apt install emacs-nox

El comando completo de instalación sería:

apt install zip unzip unace bzip2 lzop p7zip p7zip-full \
most mc tree tmux aptitude rsync fasd \
sudo ufw zsh emacs-nox

Creación de usuarios en el VPS

Vamos a añadir usuarios (lo de los id de los usuarios son costumbres mias que no tienen justificación clara):

adduser --uid=1111 hostadmin  # Siempre asigno el mismo id a los usuarios de administración
gpasswd -a hostadmin sudo

adduser salvari               # Por costumbre dejo un usuario personal con id 1000
gpasswd -a salvari sudo

adduser dockadmin             # Acostumbro a tener el dockadmin en el id 1001
gpasswd -a dockadmin sudo

Conexión al VPS via ssh

ssh en el cliente

En nuestra estación de trabajo preparamos las claves de acceso al server remoto y las trasferimos al mismo. Lo dos primeros comandos son de ejemplo, con una sola clave del tipo que sea te vale.

ssh-keygen -b 4096 -t rsa    # Especificamos ~/.ssh/<serverName>_rsa como salida

ssh-keygen -t ed25519 -a 100    # <-- Opción mas robusta (especificamos como salida ~/.ssh/<serverName>_ed25519)

ssh-copy-id -i .ssh/<serverName>_ed25519 -o PreferredAuthentications=password remoteuser@host

Para dejar correctamente configurado el acceso ssh al VPS desde nuestra estación de trabajo, tenemos que configurar nuestro cliente ssh editando el fichero ~/.ssh/config. Hay también un fichero global con opciones para el cliente ssh que sería /etc/ssh/ssh_config. Los dos ficheros tienen el mismo formato.

touch ~/.ssh/config      # Creamos el fichero si no existe
chmod 600 ~/.ssh/config  # Solo nuestro usuario puede verlo, esto es imprescindible, ssh es muy susceptible

Editamos el fichero que tendría este contenido (evidentemente tienes que usar tus propias direcciones ip y ficheros de claves)

# This options deactivates the use of every key in the ssh-agent
# Only the keys specified in this file will be used
# Host *
#     IdentitiesOnly=yes

Host firstvps
    HostName <firstvps_ip_address>
    User <user_name>
    Port 22
    IdentityFile ~/.ssh/firstvps_rsa

Host <secondvps_ip_address>
    HostName <secondvps_ip_address>
    User <user_name>
    Port 22
    IdentityFile ~/.ssh/secondvps_rsa

Con esta configuración y una vez configurado el ssh en el servidor (ver siguiente apartado) el comando de conexión será simplemente:

ssh <serverName>

Puedes conectarte a distintos usuarios en el lado VPS siempre y cuando hayas copiado la clave pública correspondiente al fichero ~/.ssh/authorized_keys de ese usuario remoto.

Configuración del servidor ssh en el VPS

En nuestro servidor VPS cambiamos la configuración para que:

• No se admitan login via ssh con password (¡OJO! Esta es la opción que tendrás que habilitar de nuevo si te lias con tus claves gpg para ssh)
• No se admita login via ssh con el usuario root

Tenemos que editar el fichero de configuración /etc/ssh/sshd_config. A continuación los cambios introducidos

.
.
.
# 20240619-salvari uncomment
PubkeyAuthentication yes
.
.
.
# To disable tunneled clear text passwords, change to no here!
# 20240619-salvari changed to no
PasswordAuthentication no
#PermitEmptyPasswords no
.
.
.
# 20240619-salvari changed to no
UsePAM no
.
.
.
# 20240619-salvari changed to no
PermitRootLogin no

Después de cambiar la configuración reiniciamos el servicio con sudo systemctl restart ssh

Ahora tenemos que comprobar que podemos conectarnos desde nuestra estación de trabajo via clave gpg, por ejemplo con el comando que ya describimos: ssh <serverName>

Configuración del cortafuegos

Ya hace tiempo que en Linux se ha pasado de implementar los firewall con iptables a usar nftables. Para mantener la compatibilidad con el antiguo iptables hay utilidades que se encargan de traducir los comandos iptables a configuraciones con nftables

Yo solía usar Uncomplicated Firewall (UFW) para configurar mis cortafuegos por que mi configuración era muy simple. El problema es que UFW sigue usando comandos iptables y no se si la traducción a nftables queda muy elegante así que aunque de momento lo dejemos con UFW voy a echar un ojo a la configuración directa con nftables y también a usar Firewalld en lugar de UFW.

Las ventajas de usar directamente nftables son configuraciones más simples y que aprendes como usuar nftables y como funciona un cortafuegos.

La principal ventaja de usar UFW o Firewalld es que los escenarios y aplicaciones típicos son muy fáciles de configurar.

UFW

Habíamos instalado ufw al instalar las utilidades al principio. Ahora vamos a poner la configuración básica del cortafuegos, es decir, vamos a permitir exclusivamente conexiones via ssh:

sudo ufw status verbose         # Comprobamos que está deshabilitado
sudo ufw app list               # comprobamos que apps soporta
sudo ufw default deny incoming  # le decimos que por defecto no acepta nada entrante
sudo ufw default allow outgoing # por defecto permitimos conexiones salientes
sudo ufw allow ssh              # permitimos conexiones ssh
sudo ufw enable                 # lo habilitamos
sudo ufw status verbose         # vemos el estado del cortafuegos

La respuesta al último comando tendrá esta pinta:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
22/tcp (v6)                ALLOW IN    Anywhere (v6)

Según vayamos añadiendo servicios tendremos que ir añadiendo reglas al firewall.

Si queremos ver como queda esto configurado en nftables podemos ejecutar el comando sudo nft list ruleset. Antes de activar el cortafuegos el comando no devuelve nada puesto que no hay definida ninguna regla. Pero tras activarlo obtenemos la configuración de reglas que figura a continuación. Son muchísimas reglas para lo que queremos (permitir sólo el acceso via ssh) Es de suponer que el UFW deja todo preparado para añadir nuevas reglas en el futuro. Aun así si configuramos lo mismo directamente con comandos nftables dudo mucho que necesitemos más de 30 lineas para dejar todo programado y bien comentado en el fichero de configuración.

# Warning: table ip filter is managed by iptables-nft, do not touch!
table ip filter {
	chain ufw-before-logging-input {
	}

	chain ufw-before-logging-output {
	}

	chain ufw-before-logging-forward {
	}

	chain ufw-before-input {
		iifname "lo" counter packets 0 bytes 0 accept
		ct state related,established counter packets 35 bytes 3502 accept
		ct state invalid counter packets 0 bytes 0 jump ufw-logging-deny
		ct state invalid counter packets 0 bytes 0 drop
		meta l4proto icmp icmp type destination-unreachable counter packets 0 bytes 0 accept
		meta l4proto icmp icmp type time-exceeded counter packets 0 bytes 0 accept
		meta l4proto icmp icmp type parameter-problem counter packets 0 bytes 0 accept
		meta l4proto icmp icmp type echo-request counter packets 0 bytes 0 accept
		udp sport 67 udp dport 68 counter packets 54 bytes 18700 accept
		counter packets 4 bytes 252 jump ufw-not-local
		ip daddr 224.0.0.251 udp dport 5353 counter packets 0 bytes 0 accept
		ip daddr 239.255.255.250 udp dport 1900 counter packets 0 bytes 0 accept
		counter packets 3 bytes 152 jump ufw-user-input
	}

	chain ufw-before-output {
		oifname "lo" counter packets 0 bytes 0 accept
		ct state related,established counter packets 31 bytes 5156 accept
		counter packets 0 bytes 0 jump ufw-user-output
	}

	chain ufw-before-forward {
		ct state related,established counter packets 0 bytes 0 accept
		meta l4proto icmp icmp type destination-unreachable counter packets 0 bytes 0 accept
		meta l4proto icmp icmp type time-exceeded counter packets 0 bytes 0 accept
		meta l4proto icmp icmp type parameter-problem counter packets 0 bytes 0 accept
		meta l4proto icmp icmp type echo-request counter packets 0 bytes 0 accept
		counter packets 0 bytes 0 jump ufw-user-forward
	}

	chain ufw-after-input {
		udp dport 137 counter packets 0 bytes 0 jump ufw-skip-to-policy-input
		udp dport 138 counter packets 0 bytes 0 jump ufw-skip-to-policy-input
		tcp dport 139 counter packets 0 bytes 0 jump ufw-skip-to-policy-input
		tcp dport 445 counter packets 1 bytes 52 jump ufw-skip-to-policy-input
		udp dport 67 counter packets 0 bytes 0 jump ufw-skip-to-policy-input
		udp dport 68 counter packets 0 bytes 0 jump ufw-skip-to-policy-input
		fib daddr type broadcast counter packets 0 bytes 0 jump ufw-skip-to-policy-input
	}

	chain ufw-after-output {
	}

	chain ufw-after-forward {
	}

	chain ufw-after-logging-input {
		limit rate 3/minute burst 10 packets counter packets 1 bytes 40 log prefix "[UFW BLOCK] "
	}

	chain ufw-after-logging-output {
	}

	chain ufw-after-logging-forward {
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] "
	}

	chain ufw-reject-input {
	}

	chain ufw-reject-output {
	}

	chain ufw-reject-forward {
	}

	chain ufw-track-input {
	}

	chain ufw-track-output {
		meta l4proto tcp ct state new counter packets 0 bytes 0 accept
		meta l4proto udp ct state new counter packets 0 bytes 0 accept
	}

	chain ufw-track-forward {
	}

	chain INPUT {
		type filter hook input priority filter; policy drop;
		counter packets 95 bytes 22558 jump ufw-before-logging-input
		counter packets 95 bytes 22558 jump ufw-before-input
		counter packets 5 bytes 296 jump ufw-after-input
		counter packets 4 bytes 244 jump ufw-after-logging-input
		counter packets 4 bytes 244 jump ufw-reject-input
		counter packets 4 bytes 244 jump ufw-track-input
	}

	chain OUTPUT {
		type filter hook output priority filter; policy accept;
		counter packets 31 bytes 5156 jump ufw-before-logging-output
		counter packets 31 bytes 5156 jump ufw-before-output
		counter packets 0 bytes 0 jump ufw-after-output
		counter packets 0 bytes 0 jump ufw-after-logging-output
		counter packets 0 bytes 0 jump ufw-reject-output
		counter packets 0 bytes 0 jump ufw-track-output
	}

	chain FORWARD {
		type filter hook forward priority filter; policy drop;
		counter packets 0 bytes 0 jump ufw-before-logging-forward
		counter packets 0 bytes 0 jump ufw-before-forward
		counter packets 0 bytes 0 jump ufw-after-forward
		counter packets 0 bytes 0 jump ufw-after-logging-forward
		counter packets 0 bytes 0 jump ufw-reject-forward
		counter packets 0 bytes 0 jump ufw-track-forward
	}

	chain ufw-logging-deny {
		ct state invalid limit rate 3/minute burst 10 packets counter packets 0 bytes 0 return
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] "
	}

	chain ufw-logging-allow {
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW ALLOW] "
	}

	chain ufw-skip-to-policy-input {
		counter packets 1 bytes 52 drop
	}

	chain ufw-skip-to-policy-output {
		counter packets 0 bytes 0 accept
	}

	chain ufw-skip-to-policy-forward {
		counter packets 0 bytes 0 drop
	}

	chain ufw-not-local {
		fib daddr type local counter packets 4 bytes 252 return
		fib daddr type multicast counter packets 0 bytes 0 return
		fib daddr type broadcast counter packets 0 bytes 0 return
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 jump ufw-logging-deny
		counter packets 0 bytes 0 drop
	}

	chain ufw-user-input {
		tcp dport 22 counter packets 1 bytes 60 accept
	}

	chain ufw-user-output {
	}

	chain ufw-user-forward {
	}

	chain ufw-user-logging-input {
	}

	chain ufw-user-logging-output {
	}

	chain ufw-user-logging-forward {
	}

	chain ufw-user-limit {
		limit rate 3/minute counter packets 0 bytes 0 log prefix "[UFW LIMIT BLOCK] "
		counter packets 0 bytes 0 reject
	}

	chain ufw-user-limit-accept {
		counter packets 0 bytes 0 accept
	}
}

# Warning: table ip6 filter is managed by iptables-nft, do not touch!
table ip6 filter {
	chain ufw6-before-logging-input {
	}

	chain ufw6-before-logging-output {
	}

	chain ufw6-before-logging-forward {
	}

	chain ufw6-before-input {
		iifname "lo" counter packets 0 bytes 0 accept
		rt type 0 counter packets 0 bytes 0 drop
		ct state related,established counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type echo-reply counter packets 0 bytes 0 accept
		ct state invalid counter packets 0 bytes 0 jump ufw6-logging-deny
		ct state invalid counter packets 0 bytes 0 drop
		meta l4proto ipv6-icmp icmpv6 type destination-unreachable counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type packet-too-big counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type time-exceeded counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type parameter-problem counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type echo-request counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-router-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-router-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-neighbor-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-neighbor-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept
		ip6 saddr fe80::/10 ip6 daddr fe80::/10 udp sport 547 udp dport 546 counter packets 0 bytes 0 accept
		ip6 daddr ff02::fb udp dport 5353 counter packets 0 bytes 0 accept
		ip6 daddr ff02::f udp dport 1900 counter packets 0 bytes 0 accept
		counter packets 0 bytes 0 jump ufw6-user-input
	}

	chain ufw6-before-output {
		oifname "lo" counter packets 0 bytes 0 accept
		rt type 0 counter packets 0 bytes 0 drop
		ct state related,established counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type destination-unreachable counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type packet-too-big counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type time-exceeded counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type parameter-problem counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type echo-request counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type echo-reply counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-router-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-neighbor-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-neighbor-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type nd-router-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept
		counter packets 0 bytes 0 jump ufw6-user-output
	}

	chain ufw6-before-forward {
		rt type 0 counter packets 0 bytes 0 drop
		ct state related,established counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type destination-unreachable counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type packet-too-big counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type time-exceeded counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type parameter-problem counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type echo-request counter packets 0 bytes 0 accept
		meta l4proto ipv6-icmp icmpv6 type echo-reply counter packets 0 bytes 0 accept
		counter packets 0 bytes 0 jump ufw6-user-forward
	}

	chain ufw6-after-input {
		udp dport 137 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input
		udp dport 138 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input
		tcp dport 139 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input
		tcp dport 445 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input
		udp dport 546 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input
		udp dport 547 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input
	}

	chain ufw6-after-output {
	}

	chain ufw6-after-forward {
	}

	chain ufw6-after-logging-input {
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] "
	}

	chain ufw6-after-logging-output {
	}

	chain ufw6-after-logging-forward {
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] "
	}

	chain ufw6-reject-input {
	}

	chain ufw6-reject-output {
	}

	chain ufw6-reject-forward {
	}

	chain ufw6-track-input {
	}

	chain ufw6-track-output {
		meta l4proto tcp ct state new counter packets 0 bytes 0 accept
		meta l4proto udp ct state new counter packets 0 bytes 0 accept
	}

	chain ufw6-track-forward {
	}

	chain INPUT {
		type filter hook input priority filter; policy drop;
		counter packets 0 bytes 0 jump ufw6-before-logging-input
		counter packets 0 bytes 0 jump ufw6-before-input
		counter packets 0 bytes 0 jump ufw6-after-input
		counter packets 0 bytes 0 jump ufw6-after-logging-input
		counter packets 0 bytes 0 jump ufw6-reject-input
		counter packets 0 bytes 0 jump ufw6-track-input
	}

	chain OUTPUT {
		type filter hook output priority filter; policy accept;
		counter packets 0 bytes 0 jump ufw6-before-logging-output
		counter packets 0 bytes 0 jump ufw6-before-output
		counter packets 0 bytes 0 jump ufw6-after-output
		counter packets 0 bytes 0 jump ufw6-after-logging-output
		counter packets 0 bytes 0 jump ufw6-reject-output
		counter packets 0 bytes 0 jump ufw6-track-output
	}

	chain FORWARD {
		type filter hook forward priority filter; policy drop;
		counter packets 0 bytes 0 jump ufw6-before-logging-forward
		counter packets 0 bytes 0 jump ufw6-before-forward
		counter packets 0 bytes 0 jump ufw6-after-forward
		counter packets 0 bytes 0 jump ufw6-after-logging-forward
		counter packets 0 bytes 0 jump ufw6-reject-forward
		counter packets 0 bytes 0 jump ufw6-track-forward
	}

	chain ufw6-logging-deny {
		ct state invalid limit rate 3/minute burst 10 packets counter packets 0 bytes 0 return
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] "
	}

	chain ufw6-logging-allow {
		limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW ALLOW] "
	}

	chain ufw6-skip-to-policy-input {
		counter packets 0 bytes 0 drop
	}

	chain ufw6-skip-to-policy-output {
		counter packets 0 bytes 0 accept
	}

	chain ufw6-skip-to-policy-forward {
		counter packets 0 bytes 0 drop
	}

	chain ufw6-user-input {
		tcp dport 22 counter packets 0 bytes 0 accept
	}

	chain ufw6-user-output {
	}

	chain ufw6-user-forward {
	}

	chain ufw6-user-logging-input {
	}

	chain ufw6-user-logging-output {
	}

	chain ufw6-user-logging-forward {
	}

	chain ufw6-user-limit {
		limit rate 3/minute counter packets 0 bytes 0 log prefix "[UFW LIMIT BLOCK] "
		counter packets 0 bytes 0 reject
	}

	chain ufw6-user-limit-accept {
		counter packets 0 bytes 0 accept
	}
}

Si queremos ver el cortafuegos en acción podemos ejecutar el comando sudo journalctl -S today |grep UFW, la cantidad de intentos de acceso bloqueados nunca deja de asombrarme.

Instalación y configuración de fail2ban

Instalación de fail2ban

Primero necesitamos instalar fail2ban en nuestro VPS. Podemos usar simplemente:

sudo apt install fail2ban

Si por lo que sea queremos instalar la última versión, podemos hacerlo descargándola desde aquí con los siguientes comandos:

# Echa un ojo al repo de releases y apunta la versión actual de fail2ban
# En nuestro caso es: https://github.com/fail2ban/fail2ban/releases/download/1.1.0/fail2ban_1.1.0-1.upstream1_all.deb

cd /tmp/

# 1) download deb package and signature:
wget https://github.com/fail2ban/fail2ban/releases/download/1.1.0/fail2ban_1.1.0-1.upstream1_all.deb \
     https://github.com/fail2ban/fail2ban/releases/download/1.1.0/fail2ban_1.1.0-1.upstream1_all.deb.asc

# 2) check signature (if you want to be sure file is unmodified):
gpg --verify fail2ban_1.1.0-1.upstream1_all.deb.asc fail2ban_1.1.0-1.upstream1_all.deb

# 3) view details of the package:
dpkg -I fail2ban_1.1.0-1.upstream1_all.deb

# 4) to ensure the upgrade run gentler (protocol of previous version may be incompatible), stop fail2ban before install:
# using service:
sudo service fail2ban stop
# using client:
sudo fail2ban-client stop

# 5a) either install package using dpkg (standalone package, don't regard dependencies):
sudo dpkg -i fail2ban_1.1.0-1.upstream1_all.deb
# if the package introduces some "broken" dependencies (I don't think so in case of fail2ban which has few dependencies),
# to fix the unmet dependency issue, run this:
sudo apt -f install

# 5b) alternatively install package using gdebi (that will take care of installation of dependencies):
sudo gdebi fail2ban_1.1.0-1.upstream1_all.deb
# if you want to check anyway whether there are some broken packages and fix them automatically, you can run:
sudo apt -f install

Una vez instalado fail2ban podemos comprobar el estado del servicio:

systemctl list-units -a --state=active --type=service
systemctl status fail2ban.service

Configuración de fail2ban

Hay dos ficheros principales de configuración en fail2ban: /etc/fail2ban/fail2ban.conf y /etc/fail2ban/jail.conf (ver aquí)

/etc/fail2ban/fail2ban.conf

Es el fichero de configuración de las opciones de operación del demonio fail2ban. Aquí se especifican cosas como el loglevel, el fichero de log, el socket o el fichero del pid.

/etc/fail2ban/jail.conf

Este es el fichero interesante, aquí es donde configuramos las reglas de baneado. Así aquí se configura, por ejemplo, el intervalo de baneo, el número de intentos de login antes de banear una ip, la lista blanca de IPs, la info que se envia por correo cuando se detecta un ataque, etc. etc.

En fail2ban definimos un jail por cada servicio que nos interesa proteger.

En casi todos los sitios que he leido nos aconsejan es hacer copias de los dos ficheros con extensión .local y hacer la configuración en estas copias.

cd /etc/fail2ban/
cp fail2ban.conf fail2ban.local
cp jail.conf jail.local

Pero la verdad es que en el man de fail2ban nos dicen que en los ficheros .local pongamos exclusivamente lo que no coincida con los valores por defecto. Y así lo voy a configurar.

{{< admonition type=danger title="Cambio de ficheros de logs en Debian 12" open=true >}}

Debian 12 ha cambiado la forma de gestionar los logs del sistema, ahora se usa journald bajo el paragüas de systemd. Si echais un ojo al directorio /var/log comprobareis que ya no existen la mayoria de los ficheros de log tradicionales.

Esto impacta directamente en la configuración de fail2ban. Hay que tenerlo en cuenta por que con las configuraciones típicas de ejemplo en internet (o mi antigua configuración) ya no funciona.

{{< /admonition >}}

Otro detalle de la configuración de fail2ban es que la mayoría de los linux actuales han cambiado del antiguo iptables a nftables para implementar las políticas de cortafuegos. Este cambio no es reciente pero yo no era muy consciente por que hay programas de "traducción" de reglas iptables a reglas nftables . Si investigas un poco en tu linux seguramente verás que cuando invocas iptables casi seguro que en realidad estás invocando a xtables-nft-multi.

Este no es un problema que impida el funcionamiento de fail2ban. Por ejemplo, ya comentamos que el cortafuegos que hemos instalado en nuestro server (Uncomplicated Firewall o ufw) sigue usando iptables y lo mismo hacen muchas otras aplicaciones como Docker sin ir más lejos. Asi que si no cambiamos la configuración por defecto fail2ban también usaría comandos de iptables que serían traducidos por xtables-nft-multi. Pero creo que lo conveniente es usar ya nftables puesto que fail2ban lo soporta. ¹

Si desplegamos fail2ban por primera vez hay que ir con cuidado de que no nos bloquee a nosotros mismos fuera del sistema. Puede que quieras activar el acceso con password via ssh antes de hacer el despliegue de fail2ban y seguramente es mejor no desplegar políticas de baneo muy agresivas hasta comprobar que todo funciona bien.

Si antes de activar fail2ban quereis ver la cantidad de intentos de acceso ilegales² que tiene vuestro VPS podéis ejecutar:

journalctl -u ssh.service -S today
journalctl -u ssh -S "1 hour ago"q   # Limitado a la última hora, el parámetro u (unit) acepta regexp

Con todas estas consideraciones nuestro fichero jail.local inicial quedaría:

[DEFAULT]
# Add my others VPS as trusted servers
ignoreip = xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy

banaction=nftables[type=multiport]
# banaction=nftables[type=allports] # optional, more aggresive


#
# JAILS
#

[sshd]
enabled = true
backend = systemd     # backend is systemd in Debian 12

En este fichero de configuración:

• Añado mis otros VPS a la lista ignoreip para que fail2ban nunca los banee. (Evidentemente para acceder tendre que configurar correctamente las claves ssh en esos otros VPS)
• Cambio el banaction para que fail2ban use nftables en lugar de iptables
• Activo un jail para el servicio sshd y, muy importante, especifico que el backend es systemd

Una vez configurado reiniciamos el servicio *fail2ban con:

sudo systemctl restart fail2ban

Con esta parametrización estas son las ip baneadas a los pocos minutos de arrancar el servicio.

fail2ban-client status sshd
Status for the jail: sshd
|- Filter
|  |- Currently failed:	18
|  |- Total failed:	159
|  `- Journal matches:	_SYSTEMD_UNIT=sshd.service + _COMM=sshd
`- Actions
   |- Currently banned:	18
   |- Total banned:	18
   `- Banned IP list:	47.236.2.29 8.219.246.145 8.222.245.20 47.237.106.242 8.222.169.164 8.219.241.126 8.222.184.144 8.222.150.15 171.22.31.29 202.157.184.46 103.146.52.138 103.142.87.225 47.245.92.217 35.192.179.181 27.71.237.15 47.237.4.213 160.20.186.237 59.34.217.89
root@vmi1540613:/etc/fail2ban#

También podemos comprobar la regla añadida por fail2ban a la configuración de nuestro firewall ³:

sudo nft list table inet f2b-table

table inet f2b-table {
	set addr-set-sshd {
		type ipv4_addr
		elements = { 8.154.32.31, 47.245.124.212,
			     58.211.191.14, 125.124.215.61,
			     167.71.137.127, 194.169.175.37,
			     194.169.175.38, 208.84.154.106,
			     209.38.21.252, 211.224.41.185,
			     218.92.0.243 }
	}

	chain f2b-chain {
		type filter hook input priority filter - 1; policy accept;
		tcp dport 22 ip saddr @addr-set-sshd reject with icmp port-unreachable
	}
}

Algunos comandos útiles:

• fail2ban-client status Comprobar estado
• fail2ban-client --test Comprueba la configuración para ver si hay errores
• fail2ban-client reload Recargar configuración
• fail2ban-client status sshd Comprobar estado del jail sshd (o cualquier otro) y ver las IP baneadas
• fail2ban-client set <jail_name> unbanip <ip_address> Desbanear una IP
• fail2ban-client set <JAIL_NAME> addignoreip <IP_Address> Meter una IP en la lista blanca (hasta el siguiente arranque)
• fail2ban-client set <JAIL_NAME> delignoreip <IP_Address> Quitar una IP de la lista blanca
• fail2ban-client get <JAIL_NAME> ignoreip Comprobar lista blanca para un jail

Refinando la configuración

Cambiamos los tiempos de detección, de baneo inicial y activamos el bantime.increment.

[DEFAULT]

# Add my others VPS as trusted servers
ignoreip = xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy

maxretry = 2
findtime = 60m

bantime.increment = true
bantime = 60m

banaction = nftables[type=multiport]
#banaction_allports = nftables[type=allports]

#
# JAILS
#

[sshd]
enabled = true
# To use more aggressive sshd modes set filter parameter "mode" in jail.local:
# normal (default), ddos, extra or aggressive (combines all).
# See "tests/files/logs/sshd" or "filter.d/sshd.conf" for usage example and details.
#mode   = normal
port    = ssh
logpath = %(sshd_log)s
# backend = %(sshd_backend)s
backend = systemd

{{< admonition type=tip title="Otras jail" open=true >}}

Evidentemente a medida que vayamos instalando servicios en nuestro VPS deberemos añadir las jail necesarias para que fail2ban monitorice intentos de acceso ilegal a esos servicios.

{{< /admonition >}}

Instalación de zsh

Me gusta usar zsh para trabajar en la terminal así que lo vamos a instalar en nuestro VPS.

Antes de empezar vamos a instalar:

• python3-all-dev aunque sólo lo necesitas si vas a usar pyenv para gestionar entornos virtuales de Python3
• antigen para gestionar todos los plugins de zsh
• zsh-git-prompt para tener información de git en el prompt del sistema

Como root ejecutamos:

apt install python3-all-dev

cd /opt
git clone https://github.com/zsh-users/antigen
git clone https://github.com/olivierverdier/zsh-git-prompt

En el home de cada usuario (cada usario con el que queramos usar zsh) tendremos que crear un fichero ~/.zshrc con las opciones de zsh que queramos para ese usuario y un fichero ~/.zalias.zsh con los alias que queramos definir.

{{< admonition type=warning title="Error con el bundle docker" open=true >}}

He tenido que crear a mano el directorio:

~/.antigen/bundles/robbyrussell/oh-my-zsh/cache/completions

para solucionar un error con el bundle docker de oh-my-zsh {{< /admonition >}}

Contenido de ~/.zshrc

# This line loads .profile, it's experimental
[[ -e ~/.profile ]] && emulate sh -c 'source ~/.profile'
source /opt/zsh-git-prompt/zshrc.sh
source /opt/antigen/antigen.zsh

# Load the oh-my-zsh's library.
antigen use oh-my-zsh

antigen bundles <<EOFBUNDLES
  # Bundles from the default repo (robbyrussell's oh-my-zsh)
  git
  command-not-found
  tmux
  # extracts every kind of compressed file
  extract
  # jump to dir used frequently, switched from z to fasd
  # needs =apt install fasd=
  z
  fasd
  # common
  common-aliases
  # virtualenvwrapper (not compatible with pyenv)
  # robbyrussell/oh-my-zsh plugins/virtualenvwrapper
  # pyenv
  # mattberther/zsh-pyenv
  # commandline autocompletions
  zsh-users/zsh-completions
  # cmdline completion for docker
  docker
  # cmdline completion for docker compose
  docker-compose
  # cmdline completion for docker
  # docker-machine
  # Learn alias
  # MichaelAquilina/zsh-you-should-use
  alias-finder # alias-finder
  # zsh-users/zsh-history-substring-search
  # autosuggestions
  tarruda/zsh-autosuggestions
  # Syntax highlighting
  zsh-users/zsh-syntax-highlighting
EOFBUNDLES

#antigen theme agnoster
antigen theme gnzh

# Tell antigen that you're done.
antigen apply

# Correct rm alias from common-alias bundle
unalias rm
alias rmi='rm -i'

# Read alias from file
source ~/.zalias.zsh

Contenido de ~/.zalias.zsh

#----------------------------------------------------------------------
# Some utilities

# list alias
alias lal='alias |grep '

# make directory and cd to it
amd() {
    mkdir -p $1
    cd $1
}

# systemd aliases
# Base
alias sc=systemctl
alias scu='systemctl --user'

# systemd subcommands
alias scst='sudo systemctl start'
alias scsp='sudo systemctl stop'
alias scrl='sudo systemctl reload'
alias scrt='sudo systemctl restart'
alias sce='sudo systemctl enable'
alias scd='sudo systemctl disable'

alias scs='systemctl status'
alias scsw='systemctl show'
alias sclu='systemctl list-units'
alias scluf='systemctl list-unit-files'
alias sclt='systemctl list-timers'
alias scc='systemctl cat'
alias scie='systemctl is-enabled'

# emacs
alias e='emacs'

# Public IP
alias myip='wget http://ipecho.net/plain -O - -q ; echo'

Puedes hacer el cambio de shell permanente para un usuario con el comando chsh --shell /usr/bin/zsh.

Instalación de Docker

Todos (o casi todos) los servicios que vamos a instalar en el VPS van a estar dockerizados así que vamos a instalar Docker.

# Add Docker's official GPG key:
sudo apt-get update
sudo apt-get install ca-certificates curl
sudo curl -fsSL https://download.docker.com/linux/debian/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc

# Add the repository to Apt sources:
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/debian \
  $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update

apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

gpasswd -a dockadmin docker

Con esto tendríamos el Docker instalado en nuestro VPS. Para comprobarlo deberíamos ejecutar con nuestro usuario dockadmin el contenedor de pruebas con:

docker run hello-world

Referencias

• Introdución ao uso de nftables para construír devasas personalizadas
• nftables multi network (home) router primer
• Firewall Configuration with nftables
• Installing and Configuring fail2ban in Natural Born Coder blog.
• Using Fail2ban to secure your server
• Fail2ban Configuration

---

1. Queda pediente buscar una alternativa a ufw que use directamente nftables, como firewalld por ejemplo. ↩︎

2. Si también quereis ver los intentos de acceso que esta bloqueando UFW podeis ejecutar sudo journalctl -S today |grep UFW ↩︎

3. Las ip de la regla no coinciden con las del status de fail2ban por que las he impreso en momentos muy separados en el tiempo. ↩︎