Instalasi CyberPanel AlmaLinux 9 Sekaligus Hardening Server

6. Periksa layanan setelah instalasi

Masuk kembali:

ssh andika@IP_VPS
sudo -i

Periksa:

systemctl --failed
ss -tulpn

Periksa CyberPanel:

systemctl status lscpd --no-pager
systemctl status lsws --no-pager

Periksa versi:

cyberpanel version 2>/dev/null || cyberpanel help

Perbarui CyberPanel menggunakan metode resmi jika versi belum terbaru:

sh <(curl -fsSL https://raw.githubusercontent.com/usmannasir/cyberpanel/stable/preUpgrade.sh)

7. Firewall tingkat provider

Di firewall VPS/provider, gunakan aturan paling ketat.

Server website tanpa mail dan DNS

Port	Protokol	Sumber
22 atau port SSH baru	TCP	IP pribadi Anda
80	TCP	Semua
443	TCP	Semua
443	UDP	Semua, untuk HTTP/3
8090	TCP	IP pribadi Anda
7080	TCP	IP pribadi Anda

Jangan membuka 8090 dan 7080 ke seluruh internet apabila Anda memiliki IP publik tetap.

CyberPanel secara resmi menyebut port 80/443 untuk web, 8090 untuk panel, 7080 untuk WebAdmin, serta port tambahan apabila FTP, mail, dan DNS digunakan.

Apabila IP rumah berubah-ubah, pilihan lebih aman adalah mengakses panel menggunakan:

• VPN seperti WireGuard/Tailscale; atau

• SSH tunnel.

Contoh SSH tunnel:

ssh -L 8090:127.0.0.1:8090 -L 7080:127.0.0.1:7080 andika@IP_VPS

Lalu buka:

https://127.0.0.1:8090
https://127.0.0.1:7080

8. Konfigurasi firewalld di server

AlmaLinux menggunakan firewalld sebagai firewall bawaan dan mendukung konfigurasi berbasis zona.

Aktifkan:

systemctl enable --now firewalld
firewall-cmd --state
firewall-cmd --get-active-zones

Buka web publik

firewall-cmd --permanent --zone=public --add-service=http
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --permanent --zone=public --add-port=443/udp

Batasi SSH dan panel hanya dari IP administrator

Ganti:

IP_ADMIN_ANDA

dengan IP publik rumah/kantor Anda.

ADMIN_IP="IP_ADMIN_ANDA"

Izinkan IP administrator:

firewall-cmd --permanent --zone=trusted --add-source="${ADMIN_IP}/32"
firewall-cmd --permanent --zone=trusted --add-port=22/tcp
firewall-cmd --permanent --zone=trusted --add-port=8090/tcp
firewall-cmd --permanent --zone=trusted --add-port=7080/tcp

Hapus akses publik ke port panel bila sebelumnya terbuka:

firewall-cmd --permanent --zone=public --remove-port=8090/tcp
firewall-cmd --permanent --zone=public --remove-port=7080/tcp

Jangan langsung menghapus SSH publik sebelum memastikan trusted zone berfungsi.

Terapkan:

firewall-cmd --reload
firewall-cmd --list-all --zone=public
firewall-cmd --list-all --zone=trusted

CyberPanel memiliki pengelola firewall tersendiri dengan prinsip menolak port selain yang dibuka. Namun, jangan mengelola aturan yang sama secara sembarangan dari beberapa tempat karena bisa menyebabkan konflik atau akses terputus.

9. Pindahkan port SSH

Gunakan port tinggi, misalnya 22779. Ini tidak menggantikan autentikasi key, tetapi mengurangi noise bot.

Karena AlmaLinux menggunakan SELinux, daftarkan port terlebih dahulu:

semanage port -a -t ssh_port_t -p tcp 22779

Jika ternyata sudah terdaftar:

semanage port -m -t ssh_port_t -p tcp 22779

Buka firewall sebelum mengubah SSH:

firewall-cmd --permanent --zone=trusted --add-port=22779/tcp
firewall-cmd --reload

Buat konfigurasi drop-in:

mkdir -p /etc/ssh/sshd_config.d
nano /etc/ssh/sshd_config.d/10-custom-port.conf

Isi:

Port 22779

Validasi:

sshd -t

Restart:

systemctl restart sshd

Buka terminal baru dan uji:

ssh -p 22779 andika@IP_VPS

Setelah berhasil, hapus port 22 dari trusted zone:

firewall-cmd --permanent --zone=trusted --remove-port=22/tcp
firewall-cmd --reload

Jangan lupa mengubah firewall provider dari port 22 menjadi 22779.

10. Hardening konfigurasi SSH

Pastikan login key pada port baru berhasil. Kemudian buat:

nano /etc/ssh/sshd_config.d/99-hardening.conf

Isi:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
ChallengeResponseAuthentication no
PubkeyAuthentication yes

PermitEmptyPasswords no
IgnoreRhosts yes
HostbasedAuthentication no

X11Forwarding no
PermitUserEnvironment no
AllowAgentForwarding no
AllowTcpForwarding yes
PermitTunnel no
GatewayPorts no

MaxAuthTries 3
MaxSessions 3
LoginGraceTime 30
ClientAliveInterval 300
ClientAliveCountMax 2

AllowUsers andika

AllowTcpForwarding yes dipertahankan agar SSH tunnel ke CyberPanel tetap dapat digunakan.

Periksa konfigurasi efektif:

sshd -T | grep -E \
'port|permitrootlogin|passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|maxauthtries|allowusers'

Validasi:

sshd -t

Restart:

systemctl restart sshd

Dokumentasi Red Hat merekomendasikan autentikasi SSH berbasis key sebagai satu-satunya metode setelah key dipastikan dapat digunakan. (Dokumentasi Red Hat)

Jangan tutup sesi root lama sampai login berikut berhasil:

ssh -p 22779 andika@IP_VPS