VPS Seguro en Ubuntu 18.04 con Letsencrypt Nginx PHP y MySQL

Es momento de elegir un proveedor de VPS para crear una cuenta en el mismo

En el curso se usa DigitalOcean, pero eres libre de elegir algún otro como Linode, Rackspace o el que gustes.

Crea una cuenta en el proveedor utilizado durante el curso (DigitalOcean). Nuevamente, no tienes que usar DigitalOcean, pero te lo puedo recomendar.

Las llaves SSH son unos archivos usados para establecer conexiones SSH, el cual, es un mecanismo de autenticación bastante seguro que nos permitirá conectarnos a nuestro servidor VPS, sin depender de las tradicionales contraseñas.

Asegúrate de haber elegido bien tu proveedor, y comprender el uso de algunos comandos.

Es momento de acceder DigitalOcean o al proveedor que hayas elegido para crear la instancia de VPS con Ubuntu 18.04.

Veamos cómo usar el comando ssh para establecer conexiones a nuestro VPS por medio de las llaves SSH que hemos creado.

Como estamos usando laves SSH cuyo nombre no es el usado por defecto por el comando ssh, se vuelve bastante molesto tener que especificar la ruta completa de la llave SSH cada vez.

Durante esta clase, verás cómo crear unos alias que te permitan olvidarte de todos los parámetros como nombres de usuario, dirección IP, junto con la ubicación de la llave SSH.

Por defecto, las conexiones por SSH establecidas con el servidor, se cierran a los 5 minutos de inactividad. Esto resulta bastante molesto, así que vamos a configurar nuestro sistema para que esto no suceda más.

Veamos cómo administrar las diferentes entradas DNS en tu proveedor de VPS de modo que apuntes tu dominio adquirido y cualquier subdominio a la dirección IP de servidor VPS.

Una vez que tienes un dominio, es importante indicarle al proveedor de ese dominio, que apunte a los servidores de DigitalOcean o del proveedor que hayas elegido, de modo que sea ese proveedor el que permita gestionar las diferentes entradas DNS.

Veamos si los detalles están claros, respecto al proceso de creación y uso de tu VPS

Para trabajar con tu VPS, tendrás que moverte constantemente a lo largo de las diferentes ubicaciones del mismo. Veamos entonces el uso de los diferentes comandos que nos permitirán conocer el contenido de una ubicación, junto con desplazarnos entre ellas.

Es una tarea bastante común, tener que crear, y gestionar cualquier tipo de archivo cuando administras un servidor VPS. En esta clase, te mostraré el uso de los diferentes comandos que te serán útiles para gestionar archivos y trabajar con su contenido.

Durante el curso, vamos a necesitar crear, mover, y gestionar directorios en general. En esta clase, te mostraré el uso de los diferentes comandos que te serán útiles para gestionar directorios en todo el sistema de archivos de tu VPS.

Mantener tu VPS actualizado es muy importante, así que durante esta clase aprenderás a usar el comando apt para gestionar los diferentes paquetes de tu servidor VPS.

Aprende a usar el comando systemctl para administrar los diferentes procesos del sistema de tu VPS. Esto es especialmente útil para gestionar los procesos de PHP, Nginx y MySQL más adelante.

De vez en cuando, el servidor VPS te pedirá que lo reinicies. El proceso es bastante sencillo, pero tiene algunas consideraciones previas.

Conoce los factores a tener en cuenta antes de reiniciar tu VPS y, por supuesto, cómo reiniciarlo.

Conoce los diferentes comandos que son de utilidad para gestionar cuentas de usuario (crear y eliminar).

Luego de haber creado un usuario, es posible iniciar sesión con éste, pero algunas cosas deben ser preparadas antes de poder hacerlo. Veamos cuáles.

Cada usuario creado tiene capacidades limitadas. Para poder darle mayor capacidad y asignarlo como usuario privilegiado, es necesario hacerlo de forma explícita. Veamos cómo.

El toque final de seguridad, será evitar que cualquier persona o sistema, inicie sesión como el usuario root de manera directa. De este modo, tendrás seguridad absoluta de que nadie tendrá permisos administrativos a menos que se los hayan asignado y conozca además la contraseña que se le dio al crear su cuenta.

Cierra todos los puertos posibles del VPS, para así evitar algún tipo de ataque sobre los múltiples puertos que puede tener tu VPS, por medio de un firewall. Así sólo tendrás abiertos aquellos que necesitas y tendrás un control más riguroso.

Conoce dos comandos usados para dar permisos sobre ubicaciones: chmod y chown.

Aprende la diferencia entre ambos y porqué es preferible usar chown.

Con Fail2Ban podrás controlar y mantener a raya los sistemas automatizados que están constantemente intentando acceder a tu VPS por medio de SSH.

Es momento de instalar el servidor web. En este caso usaremos Nginx, pues es una muy buena alternativa, incluso superior a Apache.

A pesar de tener un servidor web, capaz de recibir peticiones al puerto 80 (HTTP), éstas aún fallan, debido a que nuestro firewall tiene bloqueado este puerto. Veamos cómo habilitar este puerto junto con el puerto 443 para HTTPS.

Ya que tienes Nginx instalado y funcional, veamos un poco sobre su estructura y sus archivos y ubicaciones principales.

Veamos un poco acerca de los hosts virtuales que le permiten a Nginx determinar cómo responder a una petición u otra, además de las diferencias entre las carpetas sites-available y sites-enabled.

Ahora que está todo claro sobre Nginx, su estructura y los hosts virtuales, es momento de desplegar el primer sitio (el sitio principal) aplicando aprendido en clases anteriores.

Vamos a profundizar en el proceso de despliegue de sitios y esta vez lo haremos habilitando varios sub-dominios en nuestro servidor VPS.

Es momento de instalar un sistema gestor de bases de datos. Eres libre de elegir entre MySQL o MariaDB. En esta clase te mostraré cómo instalar MariaDB, que es mi recomendación, pero cualquiera de los dos servirá y se usará exactamente igual.

Es muy posible que, a lo largo del tiempo, sea necesario acceder a MySQL o MariaDB para gestionar las bases de datos. Veamos cómo obtener acceso a estos desde la consola y de paso crear algunas bases de datos.

Ya hemos evidenciado unos detalles de seguridad en clases anteriores, así que es momento de asegurar por completo la instalación de MySQL o MariaDB, ambas de forma similar.

Como paso final de seguridad, vamos a aislar cada base de datos de forma correspondiente, asignando un único usuario a cada una.

Es momento de instalar PHP, como un módulo independiente del sistema, de modo que tanto el servidor web como PHP pueda funcionar de manera independiente.

Vamos a dar una mirada a las ubicaciones más importantes de PHP, junto con el archivo de registro que nos puede ser de ayuda para resolver problemas.

Como es habitual, vamos a asegurar la instalación de PHP, de modo que tengamos asegurados todos los sitios que usen PHP para su funcionamiento.

Como tenemos a PHP y Nginx como módulos completamente independientes, es necesario indicarle Nginx a dónde enviar las peticiones por archivos PHP, de modo que sean debidamente procesados.

Los archivos .htaccess, al igual que los archivos y carpetas de git, podrían darle información sensible a un posible atacante. Evitando el acceso a ellos, impedirás poner en riesgo tu información, sin alterar el posible funcionamiento de estos sistemas.

De forma pre-determinada, Nginx incluye su versión y la del sistema operativo en las cabeceras de respuesta de cada sitio. Durante esta clase, verás cómo evitar que esto sucede para así evitar revelar información importante.

Al evitar clickjacking evitas que tus sitios sean incluidos en sitios externos, por medio de iFrames o similares. Así qevitas que tu contenido sea utilizado de forma indebida y además evitas que tus usuarios sean engañados.

Evita que los navegadores supongan el tipo de los archivos que sirven basados en el contenido, sino que se fíen únicamente del tipo de archivo en sí. De ese modo evitas que posibles archivos que son de texto plano, resulten siendo ejecutados al ser detectados como JavaScript o similares.

Evita que en tus sitios si inyecte código ejecutable, de modo que el navegador lo impida y bloquee la ejecución del sitio.

Mejora el rendimiento y el consumo de ancho de banda de tus sitios comprimiendo las respuestas por medio de Gzip.

Restringe un poco los límites de peticiones y conexiones simultáneas que puede tener un mismo usuario con tu sistema, para así mitigar el impacto de posibles ataques DoS y DDoS.

Es momento de asegurarse que cualquier sitio que apunte a la IP de tu servidor y que no haga parte de tus sitios configurados, sea dirigido a tu sitio por defecto, en lugar de presentar el contenido, pudiendo generar confusiones en tus usuarios y abrir las puertas a posibles engaños.