Cara Mengamankan Home Server STB Armbian dari Akses Luar

Bukan VPN, bukan brankas password

Pada seri home server ini, WireGuard dibahas untuk membuat akses dari luar lebih aman, sedangkan Vaultwarden berfungsi sebagai brankas password. Artikel ini berbeda: fokusnya mengamankan STB Armbian itu sendiri, terutama pintu masuk SSH, layanan jaringan, dan kebiasaan perawatan. Jadi, sebelum server dibuka ke internet, rapikan pertahanannya lebih dulu.

Mulai dari akun dan SSH

Ganti kredensial bawaan

Login pertama sebaiknya langsung diikuti penggantian password bawaan. Buat password panjang dan unik untuk pengguna biasa yang akan mengelola server. Hindari memakai password yang sama dengan Wi-Fi atau layanan lain. Jika tersedia, buat pengguna admin baru, uji aksesnya, lalu gunakan akun tersebut untuk pekerjaan harian; jangan bekerja sebagai root tanpa alasan.

Utamakan kunci publik

Buat pasangan kunci SSH di komputer pribadi, lalu pasang kunci publiknya pada akun server. Uji koneksi di sesi terminal kedua sebelum menutup sesi lama. Setelah kunci terbukti berfungsi dan ada cara masuk lokal melalui konsol, nonaktifkan login berbasis password. Matikan login root melalui SSH bila menu atau konfigurasi Armbian memungkinkan. Nama menu dapat berbeda menurut image, jadi gunakan pengaturan SSH di armbian-config atau dokumentasi image yang dipakai. Jangan menonaktifkan password lebih dulu: salah urutan bisa membuat Anda terkunci.

Batasi pintu jaringan

Firewall dan port

Nyalakan firewall bawaan sistem dengan kebijakan masuk ditolak secara default, lalu izinkan hanya SSH dari jaringan yang memang diperlukan dan port layanan yang benar-benar digunakan. Terapkan perubahan sambil mempertahankan satu sesi SSH yang sedang aktif, kemudian uji dari perangkat lain. Jangan mengandalkan mengganti nomor port sebagai perlindungan utama. Periksa daftar layanan yang berjalan dan aturan penerusan port di router; hapus penerusan untuk dashboard, database, atau panel yang tidak perlu diakses dari internet. Untuk akses aman dari luar, baca panduan memasang WireGuard VPN di STB Armbian, tetapi VPN tidak menggantikan hardening server.

Tambahkan lapisan secukupnya

Fail2ban untuk RAM kecil

Fail2ban dapat memantau percobaan login gagal dan memblokir alamat yang berulang kali menyerang. Pada STB dengan RAM terbatas, aktifkan hanya jail SSH, gunakan aturan sederhana, dan hindari memantau banyak layanan sekaligus. Pantau penggunaan memori serta log setelah pemasangan. Jika konsumsi terasa berat, hapus jail yang tidak perlu; firewall dan kunci publik tetap menjadi fondasi.

Rawat secara berkala

Perbarui paket Armbian dan aplikasi secara rutin dari repositori yang sesuai. Sebelum pembaruan besar, pastikan backup konfigurasi dan data penting dapat dipulihkan, serta sisakan akses konsol bila SSH bermasalah. Tinjau akun, layanan aktif, port terbuka, dan aturan router secara berkala. Keamanan bukan checklist sekali selesai: setiap container, plugin, atau port baru harus melewati pertanyaan sederhana, “Benarkah ini perlu terlihat dari luar?”