Amankan VPS Ubuntu Baru dalam 30 Menit, 8 Langkah Anti Bobol untuk Pemula

VPS baru yang baru saja aktif sebenarnya sudah jadi target sebelum kamu sempat menginstal aplikasi apa pun. Panduan keamanan VPS dari USAVPS yang diperbarui tahun 2026 mengingatkan bahwa server yang baru terhubung ke internet bisa dipindai bot otomatis dalam hitungan menit, dan bot itu tidak memilih korban, mereka hanya menyapu rentang alamat IP untuk mencari port SSH yang terbuka dan kata sandi yang lemah. Kabar baiknya, kamu tidak perlu jadi ahli keamanan untuk menutup celah itu. Panduan dari Serverserv yang diperbarui 15 Oktober 2026 merangkum seluruh proses pengamanan awal ini menjadi sekitar 30 menit, dan tutorial VPS Linux ini mengikuti urutan yang sama, disesuaikan untuk Ubuntu 24.04 LTS.

Tutorial ini adalah panduan langkah demi langkah untuk amankan VPS Ubuntu dari nol, ditulis untuk VPS Ubuntu pemula, mulai dari login pertama sebagai root sampai verifikasi akhir. Ikuti urutannya, jangan melompati langkah, dan jangan menutup sesi SSH lamamu sebelum login baru teruji. Satu kesalahan urutan, misalnya mengaktifkan firewall sebelum mengizinkan SSH, bisa menguncimu keluar dari servermu sendiri.

Kenapa VPS Baru Harus Segera Diamankan

Keamanan VPS bukan soal server besar atau kecil, melainkan soal siapa yang paling cepat menutup pintu. Server default biasanya mengizinkan login root dengan kata sandi, membuka port SSH standar, dan belum punya firewall aktif. Kombinasi itu adalah undangan terbuka bagi serangan brute force, yaitu percobaan login berulang dengan ribuan kombinasi kata sandi yang dilakukan otomatis oleh bot. Bagi VPS Ubuntu pemula, kabar baiknya adalah semua celah ini bisa ditutup dengan perintah standar, tanpa software berbayar.

Hardening VPS Ubuntu pada dasarnya adalah pekerjaan mengurangi permukaan serangan, yaitu menutup semua pintu yang tidak kamu butuhkan dan mengunci pintu yang tersisa dengan cara yang lebih kuat. Delapan langkah di bawah ini menutup serangan paling umum, yaitu tebakan kata sandi, eksploitasi paket yang belum diperbarui, port yang terbuka tanpa sengaja, dan kehilangan data karena tidak ada backup VPS yang teruji.

Langkah 1, Perbarui Sistem dan Pasang Paket Penting

Langkah pertama untuk amankan VPS Ubuntu adalah memperbarui sistem. Paket yang tertinggal adalah celah yang sudah diketahui publik dan sudah ada perbaikannya, jadi tidak ada alasan membiarkannya. Login sebagai root, lalu jalankan perintah berikut dan tunggu sampai selesai.

apt update && apt upgrade -y
apt install ufw fail2ban unattended-upgrades -y

Perintah kedua langsung memasang tiga alat yang akan kamu pakai di langkah berikutnya, yaitu firewall UFW, Fail2ban, dan update otomatis Ubuntu. Memasangnya di awal menghemat waktu, tapi jangan mengaktifkan firewall dulu sebelum langkah 5, karena urutannya penting.

Langkah 2, Buat User Baru dengan Hak Sudo

Berhenti memakai root untuk pekerjaan sehari-hari. Buat satu user biasa dengan hak sudo, karena semua login dan perintah selanjutnya akan memakai user ini. Ganti kata deploy dengan nama usermu sendiri bila kamu mau.

adduser deploy
usermod -aG sudo deploy

Perintah pertama membuat user dan meminta kata sandi untuknya, perintah kedua memberinya hak sudo. Setelah langkah ini, kamu tetap login sebagai root untuk menyiapkan kunci SSH, lalu pindah ke user baru begitu kunci aktif. Prinsipnya sederhana, yaitu hak paling kecil yang masih cukup untuk bekerja, dan tutorial VPS Linux mana pun yang bagus selalu memulai dari sini.

Langkah 3, Aktifkan Login SSH Key dan Matikan Password

Ini langkah terpenting dari seluruh tutorial keamanan VPS ini. Kunci SSH, atau SSH key, secara praktis tidak bisa ditebak dengan brute force, berbeda dengan kata sandi yang bisa dicoba ribuan kali oleh bot. Buat kunci di komputermu sendiri, bukan di server, dengan perintah berikut.

ssh-keygen -t ed25519 -C "laptop-kamu"
ssh-copy-id deploy@ALAMAT_IP_SERVER

Perintah pertama membuat sepasang kunci di komputermu, perintah kedua menyalin kunci publik ke server untuk user deploy. Setelah itu, uji login dengan SSH key dari terminal baru, dan pastikan kamu masuk tanpa diminta kata sandi.

ssh deploy@ALAMAT_IP_SERVER

Bila login kunci SSH berhasil, barulah kamu boleh mematikan login kata sandi di langkah berikutnya. Jangan pernah membalik urutannya, karena mematikan kata sandi sebelum kunci teruji sama dengan mengunci pintu dan membuang kuncinya.

Langkah 4, Kunci Konfigurasi SSH

Sekarang kunci file konfigurasi SSH agar server hanya menerima login kunci dan menolak login root serta kata sandi. Buat file drop-in baru di server dengan perintah berikut.

sudo nano /etc/ssh/sshd_config.d/60-hardening.conf

Isi file itu dengan baris berikut, lalu simpan.

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
MaxSessions 5
LoginGraceTime 30
X11Forwarding no

Setiap baris punya tugasnya, yaitu menutup login root, mematikan kata sandi, memastikan kunci SSH aktif, membatasi percobaan login hanya 3 kali, dan menutup penerusan grafis yang tidak kamu butuhkan di server. Sebelum me-restart layanan, selalu uji konfigurasinya, karena satu salah ketik di file ini bisa membuat SSH gagal start.

sudo sshd -t
sudo systemctl restart ssh

Perintah sshd -t yang tidak menampilkan apa pun berarti konfigurasi valid. Setelah restart, buka terminal baru dan uji lagi login sebagai deploy dengan kunci, lalu uji bahwa login root dan login kata sandi benar-benar ditolak. Sesi SSH lamamu jangan ditutup sampai semua pengujian ini lolos.

Langkah 5, Nyalakan Firewall UFW dengan Urutan yang Benar

Firewall UFW bertugas memblokir semua koneksi masuk kecuali port yang kamu izinkan secara eksplisit. Urutan di sini adalah segalanya, yaitu izinkan SSH dulu, baru aktifkan firewall. Panduan Serverserv menekankan aturan ini karena mengaktifkan firewall sebelum mengizinkan SSH akan memutus sesimu sendiri.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw limit OpenSSH
sudo ufw allow 80,443/tcp
sudo ufw enable
sudo ufw status verbose

Perintah limit OpenSSH mengizinkan port SSH sekaligus membatasi alamat yang membuka 6 koneksi atau lebih dalam 30 detik, sehingga percobaan brute force yang lolos dari kunci SSH ikut terhambat di level firewall. Port 80 dan 443 hanya perlu dibuka bila server ini akan melayani website, jadi hapus baris itu bila servermu hanya dipakai untuk aplikasi internal. Satu catatan penting dari panduan Serverserv, yaitu port yang dipublikasikan kontainer Docker umumnya melewati aturan UFW, jadi bila kamu memakai Docker, pelajari aturan tambahannya sebelum mengandalkan firewall ini sepenuhnya.

Langkah 6, Pasang Fail2ban untuk Menangkal Brute Force

Firewall mengontrol port mana yang terbuka, tapi tidak menghentikan percobaan login berulang pada port SSH yang memang sengaja kamu buka. Di sinilah Fail2ban bekerja, yaitu memantau log, lalu memblokir sementara alamat IP yang terlalu sering gagal login. Layanan ini sudah terpasang sejak langkah 1, jadi sekarang tinggal mengaktifkan dan memeriksa statusnya.

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

Bila status menunjukkan jail sshd aktif, berarti Fail2ban sudah berjaga. Kamu mungkin bertanya apakah Fail2ban masih perlu bila kata sandi sudah dimatikan, dan jawabannya ya, karena ia tetap mengurangi kebisingan log dan menjadi jaring pengaman bila suatu hari ada celah konfigurasi yang membuat login kata sandi aktif kembali. Periksa statusnya seminggu sekali bersama log SSH, dan alamat yang terblokir akan lepas sendiri setelah masa hukumannya habis.

Langkah 7, Aktifkan Update Keamanan Otomatis

Server yang aman hari ini bisa berlubang minggu depan bila patch keamanan tidak dipasang. Paket unattended-upgrades yang sudah kamu instal di langkah 1 membuat update otomatis Ubuntu memasang patch keamanan secara otomatis, sehingga kamu tidak bergantung pada ingatan untuk menjalankan update manual.

sudo dpkg-reconfigure -plow unattended-upgrades

Pilih Ya saat ditanya, lalu periksa lognya beberapa hari kemudian di /var/log/unattended-upgrades/ untuk memastikan patch benar-benar terpasang. Panduan HostMyCode tahun 2026 menempatkan update otomatis ini sebagai salah satu kontrol dasar yang wajib ada, berdampingan dengan login kunci SSH dan firewall, karena celah yang sudah ada perbaikannya adalah celah yang paling mudah dieksploitasi.

Langkah 8, Siapkan Backup dan Uji Pemulihannya

Backup VPS yang belum pernah diuji pemulihannya bukan backup, melainkan harapan. Minimal, salin data penting ke lokasi di luar server, misalnya VPS kedua atau penyimpanan objek, dan lakukan sekali uji pemulihan ke folder sementara. Contoh paling sederhana memakai rsync ke lokasi cadanganmu.

rsync -avz /var/www/ user@server-cadangan:/backup/www/
rsync -avz /etc/ user@server-cadangan:/backup/etc/

Sesuaikan foldernya dengan aplikasimu, dan tambahkan database bila aplikasimu memakainya, karena file website tanpa database biasanya tidak bisa dipulihkan utuh. Bila kamu ingin backup terenkripsi dan berversi, alat seperti restic yang disebut panduan Serverserv adalah langkah lanjut yang layak dipelajari setelah delapan langkah dasar ini beres. Jadwalkan backup secara berkala, dan ulangi uji pemulihan setiap kali konfigurasimu berubah besar.

Kesalahan yang Paling Sering Mengunci Pemiliknya Sendiri

Tiga kesalahan ini muncul berulang di panduan amankan VPS Ubuntu dan hardening VPS Ubuntu tahun 2026, dan ketiganya bisa dihindari dengan disiplin urutan. Pertama, mengaktifkan UFW sebelum mengizinkan SSH, yang memutus aksesmu sendiri dan memaksamu memakai konsol web provider untuk memperbaikinya. Kedua, mematikan login kata sandi sebelum login kunci SSH teruji, yang membuat tidak ada jalan masuk yang tersisa. Ketiga, mengganti port SSH dengan anggapan itu sudah cukup aman, padahal mengganti port hanya mengurangi kebisingan log, bukan menambah keamanan nyata, karena kunci SSH dan Fail2ban jauh lebih menentukan.

Obat untuk ketiganya sama, yaitu selalu simpan satu sesi SSH lama yang masih terhubung selama kamu mengubah konfigurasi, selalu uji login baru di terminal terpisah sebelum menutup sesi lama, dan selalu pastikan akses konsol web provider bisa dipakai sebagai jalan darurat. Bila kamu terkunci, konsol itu adalah satu-satunya pintu yang tersisa.

Kesimpulan

Delapan langkah tutorial VPS Linux di atas, sebagai panduan amankan VPS Ubuntu yang lengkap, mengubah VPS Ubuntu baru dari kondisi default yang mudah ditebak menjadi server yang tertutup rapat, dan semuanya bisa kamu selesaikan dalam sekitar 30 menit. Urutannya adalah update sistem, user sudo, kunci SSH, konfigurasi SSH yang terkunci, firewall UFW, Fail2ban, update otomatis Ubuntu, dan backup VPS yang teruji. Keamanan VPS bukan proyek sekali jalan, jadi jadwalkan pemeriksaan mingguan untuk status Fail2ban, log SSH, dan log update otomatis, serta ulangi audit singkat ini setiap kali kamu menginstal layanan baru.

Bila kamu ingin melanjutkan dari fondasi ini, langkah berikutnya yang paling masuk akal adalah memasang aplikasi pertamamu di atas server yang sudah keras ini, misalnya panel game server atau aplikasi self-hosted. Artikel AwanServers tentang cara install Pterodactyl Panel dan Wings di Ubuntu Server adalah contoh yang bagus, karena ia mengasumsikan server Ubuntu yang sudah siap pakai seperti yang baru saja kamu amankan. Ikuti urutannya, uji setiap langkah, dan servermu sudah jauh lebih aman daripada kebanyakan server Linux baru di internet.

FAQ Seputar Amankan VPS Ubuntu

Apakah mengganti port SSH dari 22 sudah cukup untuk amankan VPS Ubuntu?

Belum. Mengganti port hanya mengurangi kebisingan log dari bot yang memindai port standar, tapi tidak menghentikan serangan yang memang menyasar port barumu. Login kunci SSH, login root yang dimatikan, dan Fail2ban adalah perlindungan yang benar-benar menentukan.

Apakah Fail2ban masih perlu bila login kata sandi sudah dimatikan?

Ya. Fail2ban tetap mengurangi kebisingan log dan menjadi jaring pengaman bila suatu hari konfigurasi berubah dan login kata sandi aktif kembali tanpa kamu sadari.

Berapa lama proses hardening VPS Ubuntu untuk pemula?

Sekitar 30 menit bila mengikuti urutan panduan amankan VPS Ubuntu ini tanpa gangguan, sesuai estimasi panduan Serverserv yang diperbarui 15 Oktober 2026. Panduan Zyvop yang diperbarui akhir Oktober 2026 bahkan menargetkan 15 menit untuk tujuh langkah intinya. Untuk VPS Ubuntu pemula, alokasikan satu jam santai untuk pertama kali dan kamu tetap punya cadangan waktu.

Apakah UFW cukup sebagai satu-satunya firewall VPS?

Untuk VPS satu layanan, kombinasi UFW, login kunci SSH, dan Fail2ban sudah menutup serangan otomatis paling umum. Bila providermu menyediakan firewall di level jaringan, aktifkan juga, karena firewall itu menyaring trafik sebelum mencapai mesin virtualmu.