Amankan server dengan UFW, SSH Key & Fail2ban

IP publik VPS-mu terlihat oleh seluruh internet. Dalam hitungan menit setelah online, skrip otomatis akan mencoba login lewat SSH dengan ribuan kombinasi username & password umum (admin/admin, root/123456, dan seterusnya). Ini disebut serangan brute-force.

Kita lawan dengan tiga lapis. Bayangkan servermu sebagai rumah: firewall mengunci semua jendela kecuali pintu depan, SSH key mengganti gembok biasa dengan kunci yang mustahil ditebak, dan Fail2ban adalah satpam yang mengusir siapa pun yang menggedor terlalu sering.

• VPS Ubuntu/Debian dengan akses sudo (mis. user "deploy", bukan root langsung).
• Akses ke terminal laptop kamu (Mac/Linux: Terminal; Windows: PowerShell/Git Bash).
• Akses konsol/VNC dari panel VPS sebagai cadangan kalau-kalau terkunci.

UFW (Uncomplicated Firewall) membuat pengaturan firewall jadi mudah. Prinsipnya: tolak semua koneksi masuk, lalu buka hanya port yang benar-benar perlu.

# DI SERVER — pasang & atur firewall UFW
sudo apt update
sudo apt install -y ufw
 
# Aturan dasar: tolak semua masuk, izinkan semua keluar
sudo ufw default deny incoming
sudo ufw default allow outgoing
 
# Izinkan HANYA port yang perlu
sudo ufw allow OpenSSH      # port 22 (SSH) -- WAJIB, jangan sampai lupa!
sudo ufw allow 80/tcp       # HTTP
sudo ufw allow 443/tcp      # HTTPS
 
# Nyalakan firewall
sudo ufw enable
 
# Cek aturan yang aktif
sudo ufw status verbose

Setelah ufw enable, hasil ufw status kurang lebih seperti ini:

deploy@server:~$ sudo ufw status verboseStatus: activeTo                Action    FromOpenSSH           ALLOW     Anywhere80/tcp            ALLOW     Anywhere443/tcp           ALLOW     Anywhere# hanya 3 pintu yang terbuka ✅

Password bisa ditebak; kunci kriptografi praktis tidak. SSH key terdiri dari sepasang: kunci privat (rahasia, simpan di laptop) dan kunci publik (ditaruh di server). Buat dulu di laptop kamu, bukan di server:

# DI LAPTOP kamu (bukan di server) — buat sepasang kunci
ssh-keygen -t ed25519 -C "email-kamu@contoh.com"
 
# Tekan Enter untuk lokasi default (~/.ssh/id_ed25519)
# Boleh isi passphrase untuk lapisan keamanan ekstra

Lalu salin kunci publik ke server. Cara termudah memakai ssh-copy-id(ganti user & IP sesuai punyamu):

# DI LAPTOP — salin kunci publik ke server (cara termudah)
ssh-copy-id deploy@203.0.113.10
 
# Lalu coba login — seharusnya TANPA minta password lagi
ssh deploy@203.0.113.10

kamu@laptop:~$ ssh deploy@203.0.113.10Welcome to Ubuntu 24.04 LTS# masuk tanpa diminta password = kunci aktif ✅

Setelah kunci bekerja, matikan login password agar penyerang tidak punya peluang menebak sama sekali. Buka konfigurasi SSH di server:

# DI SERVER — edit konfigurasi SSH
sudo nano /etc/ssh/sshd_config

Cari baris-baris berikut, hilangkan tanda # di depannya bila ada, lalu ubah nilainya menjadi:

1# Larang login langsung sebagai root2PermitRootLogin no3 4# Matikan login dengan password5PasswordAuthentication no6 7# Wajibkan kunci publik8PubkeyAuthentication yes

Simpan file, lalu terapkan dengan me-restart SSH:

# Setelah simpan, terapkan perubahan
sudo systemctl restart ssh

Fail2ban membaca log login dan otomatis memblokir IP yang gagal login berkali-kali dalam waktu singkat. Pasang dan siapkan file konfigurasinya:

# DI SERVER — pasang Fail2ban
sudo apt install -y fail2ban
 
# Salin file konfigurasi agar tidak tertimpa saat update
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
 
# Edit konfigurasi
sudo nano /etc/fail2ban/jail.local

Di dalam jail.local, cari bagian [sshd] dan atur seperti ini. maxretry = jumlah percobaan gagal sebelum diblokir, bantime = lama pemblokiran:

1[sshd]2enabled = true3port = ssh4maxretry = 55findtime = 10m6bantime = 1h

Nyalakan Fail2ban lalu cek statusnya:

# Nyalakan & aktifkan Fail2ban
sudo systemctl enable --now fail2ban
 
# Cek status "jail" untuk SSH
sudo fail2ban-client status sshd

deploy@server:~$ sudo fail2ban-client status sshdStatus for the jail: sshd|- Currently failed: 0`- Currently banned: 2# 2 IP penyerang sudah diblokir otomatis ✅

Terakhir, pastikan ketiga lapis aktif. Jalankan tiga perintah ini — semuanya harus menunjukkan status aktif:

deploy@server:~$ sudo ufw status | head -n 1Status: activedeploy@server:~$ sudo systemctl is-active fail2banactivedeploy@server:~$ sudo sshd -T | grep -E 'passwordauthentication|permitrootlogin'passwordauthentication nopermitrootlogin no# tiga lapis pertahanan aktif ✅

Keamanan rentan membuat orang terkunci dari servernya sendiri. Cek tabel ini bila terjadi: