Server VPS: update dan firewall

Yang akan Anda capai

• memperbarui sistem;
• mengaktifkan update keamanan otomatis;
• hanya membuka port yang Anda pakai.

Sebelum memulai

• Jika server Anda sudah berisi lebih dari sekadar server kosong yang baru diterima, minta snapshot kepada kami terlebih dahulu (lewat email atau WhatsApp; kami membuatnya pada hari kerja yang sama). Snapshot dalam paket sudah termasuk dalam harga.
• Anda tahu apa yang berjalan di server dan di port mana: SSH di 22, website di 80 dan 443, n8n atau aplikasi lain di port masing-masing.
• Biarkan satu sesi SSH tetap terbuka selama Anda mengonfigurasi firewall. Jika SSH tidak sengaja terblokir, Anda bisa memperbaikinya dari sesi itu.

Langkah-langkah

A. Memperbarui sistem

1. Ubuntu dan Debian:

   sudo apt update && sudo apt upgrade

2. AlmaLinux dan Rocky:

   sudo dnf upgrade

3. Periksa apakah perlu restart (misalnya setelah kernel baru):
   • Ubuntu dan Debian: jika file /var/run/reboot-required ada, lakukan restart;
   • AlmaLinux dan Rocky: sudo dnf install dnf-utils, lalu sudo needs-restarting -r.
4. Restart dengan sudo reboot, tunggu satu menit, lalu masuk lagi.

B. Mengaktifkan update keamanan otomatis

5. Ubuntu: paket unattended-upgrades biasanya sudah terinstal dan aktif. Periksa:

   sudo dpkg-reconfigure -plow unattended-upgrades

   Jawab Yes. Mulai sekarang, update keamanan terinstal sendiri setiap hari.

6. Debian:

   sudo apt install unattended-upgrades
   sudo dpkg-reconfigure -plow unattended-upgrades

7. AlmaLinux dan Rocky:

   sudo dnf install dnf-automatic

   Di /etc/dnf/automatic.conf, pada bagian [commands], isi apply_updates = yes (dan, jika hanya ingin update keamanan, upgrade_type = security). Lalu:

   sudo systemctl enable --now dnf-automatic.timer

8. Update otomatis tidak me-restart server. Sebulan sekali, atau saat Anda membaca tentang celah keamanan penting, periksa langkah 3 dan lakukan restart pada jam yang sepi.

C. Mengaktifkan firewall — Ubuntu dan Debian (UFW)

9. Di Debian, instal dulu: sudo apt install ufw. Di Ubuntu sudah terinstal.

10. Izinkan SSH lebih dulu, kalau tidak Anda akan terkunci di luar:

    sudo ufw allow OpenSSH

    Jika SSH sudah Anda pindahkan ke port lain, izinkan port tersebut: sudo ufw allow 2222/tcp.

11. Izinkan juga yang Anda pakai, misalnya website:

    sudo ufw allow 80/tcp
    sudo ufw allow 443/tcp

12. Aktifkan firewall dan periksa:

    sudo ufw enable
    sudo ufw status verbose

    Secara default, UFW memblokir semua lalu lintas masuk yang tidak diizinkan dan membiarkan semua lalu lintas keluar.

D. Mengaktifkan firewall — AlmaLinux dan Rocky (firewalld)

13. Pastikan firewalld berjalan: sudo systemctl enable --now firewalld.
14. SSH biasanya sudah diizinkan sejak instalasi. Periksa dan tambahkan yang Anda pakai:

    sudo firewall-cmd --permanent --add-service=ssh
    sudo firewall-cmd --permanent --add-service=http
    sudo firewall-cmd --permanent --add-service=https
    sudo firewall-cmd --reload
    sudo firewall-cmd --list-all

E. Memeriksa dari luar

15. Dari jendela baru, masuk lagi lewat SSH. Jika berhasil, firewall sudah benar.
16. Buka layanan publik di browser (website, panel aplikasi) dan pastikan semuanya termuat.
17. Lihat port mana yang mendengarkan di server: sudo ss -tulpn. Setiap layanan yang mendengarkan di 0.0.0.0 atau [::] dan tidak perlu publik (database, Redis) harus dihentikan, diikat hanya ke 127.0.0.1, atau tetap diblokir di firewall.

Perhatian pada Docker

Jika Anda memilih image dengan Docker, n8n, Dokploy, atau aplikasi lain yang berjalan dalam container, Docker membuat aturan jaringannya sendiri dan melewati UFW: port yang dipublikasikan oleh container (misalnya dengan -p 5678:5678) bisa diakses dari internet meskipun UFW tidak mengizinkannya. Agar container tidak publik, publikasikan port hanya secara lokal (-p 127.0.0.1:5678:5678) dan pasang web server dengan HTTPS di depannya, atau gunakan aturan firewall dari dokumentasi Docker.

Jika ada kendala

• Setelah ufw enable Anda tidak bisa lagi masuk lewat SSH. Anda belum mengizinkan SSH atau port-nya. Dari sesi yang masih terbuka: sudo ufw allow OpenSSH (atau port Anda). Jika tidak ada sesi yang tersisa, hubungi kami: kami akan menjelaskan pilihan yang Anda miliki, misalnya pemulihan dari snapshot.
• apt upgrade menanyakan sesuatu tentang file konfigurasi. Jika Anda belum mengubah file tersebut, pilih versi paket (install the package maintainer's version); jika sudah Anda ubah, pertahankan versi Anda.
• Sebuah website atau aplikasi tidak merespons lagi setelah firewall aktif. Port-nya belum diizinkan. Tambahkan (langkah 11 atau 14).
• Pemantauan uptime menyatakan website tidak merespons. Bot kami memeriksa dari luar, seperti pengunjung biasa; port website harus terbuka di firewall (lihat Server VPS: backup dan pemantauan).