Hardening básico de un servidor Linux

Cuando levantas un servidor nuevo, viene abierto de más. Estos son los ajustes mínimos que aplico siempre antes de exponerlo.

1. Actualiza y reduce la superficie

apt update && apt full-upgrade -y

Desinstala lo que no uses y desactiva servicios que no necesites. Cada puerto abierto es una puerta.

2. SSH: la puerta principal

• Sin root directo: PermitRootLogin no.
• Solo clave, sin contraseña: PasswordAuthentication no.
• Crea un usuario propio con sudo y entra con él.

3. Cortafuegos por defecto: denegar

Con ufw, deniega todo y abre solo lo justo:

ufw default deny incoming
ufw allow 22/tcp
ufw enable

4. Fail2ban

Bloquea automáticamente las IPs que fallan el login varias veces. Es de lo más rentable que puedes instalar.

Esto no te hace invulnerable, pero te quita de encima el 95% del ruido automatizado de internet.