Het root-wachtwoord van uw VPS Linux wijzigen

Het account root kan alles op de machine: elk bestand lezen, alles installeren, alles wissen. Het wachtwoord ervan is dus het hoofdslot van uw server, en dat slot is bereikbaar via een publiek IP-adres. Bots testen het meestal al binnen enkele minuten nadat de VPS online is gegaan.

Wijzig het wanneer u de machine in gebruik neemt, en zodra u twijfelt of het nog vertrouwelijk is.

Welke wachtwoordregel geldt op een VPS?

By-Hoster controleert het wachtwoord aan de serverkant, bij elk toegangspunt (bestelling, herinstallatie, wijziging vanuit de klantenzone). Het moet voldoen aan:

Daarnaast worden geweigerd: veelgebruikte fragmenten (password, azerty, 123456, admin, debian…) en de hostnaam of de gebruikersnaam van uw eigen VPS.

De overige symbolen (aanhalingstekens, backslash, backtick, $) zijn bewust uitgesloten: ze worden doorgegeven via de initialisatieconfiguratie van de machine, waar ze escapefouten veroorzaken.

Hoe wijzig ik het root-wachtwoord vanuit de klantenzone?

Dit is de aanbevolen manier, en de enige die werkt als u geen toegang meer hebt tot de machine.

1. Open uw dienst in de klantenzone.
2. Ga naar het tabblad Toegang & beveiliging.
3. Voer het nieuwe wachtwoord in het daarvoor bestemde veld in en bevestig.

Belangrijk: een KVM-VPS moet opnieuw opstarten

Op een virtuele KVM-machine wordt deze wijziging in de initialisatieconfiguratie (cloud-init) van de VM geplaatst. Ze wordt niet toegepast op het draaiende systeem: ze wordt pas bij de volgende opstart verwerkt.

Met andere woorden: bevestig het formulier en start daarna de machine opnieuw op. Zolang u niet opnieuw hebt opgestart, blijft het oude wachtwoord geldig en werkt het nieuwe nog niet. Op een LXC-container is het effect daarentegen onmiddellijk.

Hoe wijzig ik het root-wachtwoord via de opdrachtregel?

Bent u al met de machine verbonden, dan wijzigt passwd het wachtwoord meteen, zonder herstart.

Aangemeld als root:

passwd

Aangemeld met een gebruiker die sudo mag gebruiken:

sudo passwd root

Voer het nieuwe wachtwoord in en bevestig het. Tijdens het typen verschijnt er niets, zelfs geen sterretjes: dat is normaal, de terminal verbergt de invoer volledig. De verwachte bevestiging is:

passwd: password updated successfully

Let op: deze methode brengt de klantenzone niet op de hoogte. Het wachtwoord dat op uw dienstpagina is opgeslagen, blijft het oude, en de twee lopen uiteen. Wilt u dat de klantenzone de referentie blijft, gebruik dan methode 1.

Hoe controleer ik of het nieuwe wachtwoord werkt?

Open een tweede SSH-sessie zonder de eerste te sluiten. Wordt het nieuwe wachtwoord geweigerd, dan houdt u de lopende sessie over om het te corrigeren.

ssh root@uw-ip

Of, vanaf de machine zelf, via een volledige nieuwe authenticatie:

su -

Wat kan ik naast een wachtwoord doen om de toegang te beveiligen?

Twee maatregelen: SSH-sleutels, die het wachtwoord vervangen door een cryptografisch sleutelpaar, en fail2ban, dat adressen blokkeert die blijven aandringen.

Een wachtwoord, ook een lang, blijft een tekenreeks die met genoeg pogingen kan worden geraden. Twee maatregelen maken echt het verschil:

• SSH-sleutels, die het wachtwoord vervangen door een cryptografisch sleutelpaar dat onmogelijk te raden is;
• fail2ban en de firewall, die adressen blokkeren die blijven aandringen.

Bent u het wachtwoord kwijt en hebt u geen toegang meer tot de machine, dan wordt de herstelprocedure beschreven in het artikel dat daaraan is gewijd.