Belajar Proxmox VE - Security Hardening Node Proxmox

#Pendahuluan

Episode 14 mengamankan akses user. Episode 15 mengamankan node itu sendiri: pintu masuk SSH, web UI, dan mekanisme update. Ini adalah lapisan pertahanan yang paling sering diuji penyerang — dan paling sering diabaikan administrator.

Kita akan mematikan password login untuk root, mengubah port SSH, mengganti sertifikat self-signed dengan TLS yang valid, membatasi akses web UI ke management VLAN, lalu mengotomasi security updates. Di akhir episode, node kalian jauh lebih sulit ditembus.

#Mengamankan Akses SSH

#SSH Key Only Authentication

Langkah pertama adalah mematikan login berbasis password untuk root. Password bisa ditebak atau di-brute-force; SSH key hampir mustahil ditebak. Buat key di mesin kerja kalian, lalu salin ke node:

ssh-copy-id root@192.168.1.10

Setelah key terpasang, verifikasi login dengan key bekerja, lalu nonaktifkan password login di /etc/ssh/sshd_config:

PermitRootLogin prohibit-password
PasswordAuthentication no

Perintah sshd -t memvalidasi konfigurasi sebelum reload, dan systemctl reload ssh menerapkannya. Jangan tutup sesi lama sebelum memastikan login key berhasil.

#Mengubah Default SSH Port

Mengubah port SSH dari 22 ke port lain mengurangi kebisingan serangan otomatis yang menyasar port default. Edit baris Port 22 menjadi port baru, misalnya 2222:

Port 2222

Jangan lupa membuka port baru di firewall dan menutup yang lama. Ingat juga untuk mengupdate klien SSH kalian dengan flag -p 2222.

#Membatasi IP Akses SSH

Langkah terkuat: batasi SSH hanya dari IP tertentu. Gunakan aturan firewall atau hosts.allow agar hanya jaringan management yang boleh mengakses port SSH.

#Mengamankan Web UI

#Sertifikat TLS Valid

Web UI Proxmox default memakai sertifikat self-signed — browser selalu memperingatkan, dan koneksi tidak bisa diverifikasi. Ganti dengan sertifikat valid dari Let's Encrypt atau internal CA.

Dapatkan sertifikat -> unggah ke /etc/pve/local -> pilih di UI -> reload pveproxy

Untuk Let's Encrypt, kalian butuh domain dan challenge DNS atau HTTP. Setelah sertifikat terpasang, systemctl reload pveproxy membuat web UI melayani koneksi yang dipercaya browser.

#Membatasi Akses ke Management VLAN

Sertifikat tidak berguna jika web UI terbuka ke seluruh dunia. Batasi akses port 8006 hanya dari management VLAN kalian. Gunakan Proxmox firewall node atau firewall eksternal untuk menolak akses dari jaringan lain.

Allow : 10.0.0.0/8 (management VLAN) ke port 8006
Deny  : semua alamat lain

Kombinasi sertifikat valid plus pembatasan jaringan membuat web UI hanya bisa diakses dari tempat yang memang seharusnya.

#Automatic Security Updates

#Konfigurasi unattended-upgrades

Debian menyediakan unattended-upgrades untuk memasang patch keamanan secara otomatis. Proxmox mengaktifkannya untuk repository enterprise; kalian perlu menambahkan repository pve-no-subscription:

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

Konfigurasi sumber update keamanan di /etc/apt/apt.conf.d/50unattended-upgrades, pastikan baris pve-no-subscription tidak di-comment. Patch keamanan Debian dan Proxmox akan terpasang otomatis.

#Memantau Update Otomatis

Cek apakah update otomatis berjalan:

unattended-upgrade --dry-run

Perintah unattended-upgrade --dry-run mensimulasikan proses dan menampilkan paket yang akan diperbarui. Pantau log /var/log/unattended-upgrades/ sesekali untuk memastikan tidak ada kegagalan.

#Verifikasi Hasil Hardening

#Audit Konfigurasi SSH

Setelah semua perubahan, pastikan tidak ada celah yang terlewat:

sshd -T | grep -E "permitrootlogin|passwordauthentication|port"

Output harus menunjukkan permitrootlogin prohibit-password, passwordauthentication no, dan port yang sudah diubah.

#Memeriksa Port yang Terbuka

Periksa daftar port yang benar-benar mendengarkan di node:

ss -tlnp

Perintah ss -tlnp menampilkan semua port listening beserta prosesnya. Bandingkan dengan port yang memang dibutuhkan: 8006 untuk web UI, port SSH baru, serta port Corosync dan Ceph jika kalian memakai cluster.

#Penutup

Episode 15 memperkuat pertahanan node: mematikan password SSH dan memakai key saja, mengubah port SSH, membatasi IP akses, memasang sertifikat TLS valid untuk web UI, membatasi akses ke management VLAN, dan mengotomasi security updates.

Inti yang harus dibawa pulang:

• Nonaktifkan SSH password login; gunakan SSH key only.
• Ubah port SSH dan batasi IP yang boleh mengakses.
• Ganti sertifikat self-signed dengan TLS valid dari Let's Encrypt atau internal CA.
• Batasi akses web UI 8006 hanya dari management VLAN.
• Aktifkan unattended-upgrades untuk patch keamanan otomatis.
• Verifikasi semua perubahan dengan sshd -t dan unattended-upgrade --dry-run.

Di episode 16 selanjutnya kita akan membahas GPU passthrough dan nested virtualization — memberikan akses langsung perangkat fisik ke VM lewat IOMMU, mem-bypass driver host untuk GPU NVIDIA dan AMD, hingga mengaktifkan virtualisasi di dalam VM. Node kalian sudah diperkuat; sekarang saatnya memaksimalkan hardware!