Security on nuteo.info

CrowdSec: collaborative intrusion prevention

Mon, 03 Aug 2026 00:00:00 +0000

CrowdSec: collaborative intrusion prevention

fail2ban ใช้ได้ แต่มันเดี่ยว — ทุกเซิร์ฟเวอร์เห็น SSH brute-force attempts เดียวกันแบบแยกกัน CrowdSec แก้ปัญหานั้น: เมื่อเซิร์ฟเวอร์หนึ่ง ban IP, ทุก CrowdSec users ได้ประโยชน์จาก shared blocklist

ติดตั้ง

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash
apt install -y crowdsec
apt install -y crowdsec-caddy-bouncer

CrowdSec auto-detect services ที่รันอยู่และ activate parsers สำหรับ setup พื้นฐานมันจะ parse SSH, Caddy, และ Nginx logs ทันที

ตรวจสอบ

sudo cscli metrics
sudo cscli decisions list
sudo cscli alerts list

คุณจะเห็น SSH brute-force attempts แรกภายในไม่กี่นาที

ติดตั้ง VPS สำหรับ production: คู่มือ 2026

Mon, 03 Aug 2026 00:00:00 +0000

ติดตั้ง VPS สำหรับ production

ทุกครั้งที่ตั้ง VPS ใหม่ ผมทำเหมือนเดิมเสมอ: patch, lock down, ติดตั้ง Docker, ตั้ง backup คู่มือนี้คือ playbook — ทุกขั้นที่ผมรันจริง ตามลำดับ

0. ก่อนเริ่ม

ก่อน SSH เข้าครั้งแรก ผมจะ:

ตั้ง hostname ใน cloud console
ใส่ SSH key (ไม่ใช้ password!)
จด public IPv4 และ private IP (ถ้ามี VPC)
สร้าง DNS A record ชี้ไป public IP

1. 60 วินาทีแรก

apt update && apt upgrade -y
apt install -y ufw fail2ban unattended-upgrades curl wget git htop vim
timedatectl set-timezone Asia/Bangkok

ตั้ง timezone ก่อน Logs ไม่มีความหมายถ้า timestamp ไม่ถูก

ติดตั้ง WireGuard VPN สำหรับ admin access

Mon, 03 Aug 2026 00:00:00 +0000

ติดตั้ง WireGuard VPN สำหรับ admin access

เมื่อ VPS ขึ้น production แล้ว คุณคงไม่อยากเปิด admin UIs (Grafana, Netdata, internal tools) สู่ public internet WireGuard ช่วยให้คุณมี tunnel ส่วนตัวไปยัง VPS — มีแค่ client ที่มี key ถูกต้องที่เข้าถึงได้

ตั้ง Server

apt install -y wireguard

wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
chmod 600 /etc/wireguard/server_private.key

cat > /etc/wireguard/wg0.conf <<EOF
[Interface]
Address = 10.10.10.1/24
ListenPort = 51820
PrivateKey = $(cat /etc/wireguard/server_private.key)
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <client_public_key>
AllowedIPs = 10.10.10.2/32
EOF

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p
systemctl enable --now wg-quick@wg0

ufw allow 51820/udp comment 'WireGuard'

ตั้ง Client (macOS, Linux, iOS, Android)

สำหรับแต่ละ client: