ノードを建てた。動き始めた。
だが、まだ門は開いている。

森に庵を結ぶハンターは、寝る前に必ず戸締まりをする。森は静かだが、優しいわけではない。

公開IPを持ったサーバーも同じだ。動き始めた瞬間から、世界中の誰でもそのドアを叩くことができる。そして、実際に叩いてくる存在がいる ─ 何百回、何千回と、ひっきりなしに。

この記事は、そのドアを固める話だ。

攻撃は本当に来ているのか

これは杞憂ではない。理屈ではなく、数字で示せる。

2台目のノード tencawffee.com にセキュリティ強化を行った当日 ─ 具体的には fail2ban という防御ツールをインストールしてから数時間後 ─ 既に1件のIPアドレスがBANされていた。

|- Currently banned: 1
|- Total banned:     1
|- Banned IP list:   45.148.10.151

私が何か特別に攻撃を受けやすい設定をしていたわけではない。公開された22番ポート（SSH）を持つすべてのサーバーは、常時こうした自動探査にさらされている。新しく建てたVPSは、IPが世界に認知された瞬間からスキャン対象になる。

放っておけば、辞書攻撃や弱いパスワードで侵入される可能性は必ずある。だから、ノードを建てたら次にやるべきは「城門を固めること」だ。

パスワードと鍵 ─ 認証の二つの方法

サーバーに入る方法には、大きく分けて二つある。

パスワード認証は、文字通り「合言葉」だ。あなたが正しい合言葉を知っていれば入れる。便利だが、欠点がある ─ 攻撃者も、何度でも合言葉を試せる。世界中から、毎秒のように。

公開鍵認証は、もっと面白い仕組みだ。あなたは「秘密鍵」というデジタル鍵を自分のPCに保管し、それとペアになる「公開鍵」をサーバー側に置いておく。サーバーは公開鍵を使って暗号パズルを出題し、対応する秘密鍵だけがそれを解ける。秘密鍵そのものはネットワークを流れない。

公開鍵認証に切り替えると、攻撃者は「正しい秘密鍵」を持っていない限り、いくら試行しても入れない。これだけで侵入リスクは桁違いに下がる。

やったこと ─ 段階的に締めていく

セキュリティ強化は、慎重に段階を踏む必要がある。なぜなら、急いで全部を一度に締めると、自分自身が締め出される（ロックアウト）からだ。実際の流れは、こうだった。

/etc/ssh/sshd_config: line 78: Bad configuration option: PasswordAuthenticatios
/etc/ssh/sshd_config: terminating, 1 bad configuration options

鍵を二つの場所に持つということ

今日の作業で大事にしたことの一つが、鍵を持つ場所を二つに分散させることだった。

どちらかを失っても、もう一方からノードに入れる。これは保険でもあり、利便性でもある。

ただし、これは「秘密鍵を二つの場所にコピーする」ということでもある。つまり、どちらか一方でも盗まれれば、ノードが侵害される。だからこそ、鍵自体にパスフレーズを付けた。鍵が盗まれてもパスフレーズを知らなければ使えない。

セキュリティは常に「便利さ」と「強さ」のトレードオフだ。完璧を求めれば不便になり、不便さを避ければ穴ができる。自分が許容できる範囲で、できるだけ強くすることが、現実的な落としどころになる。

城門は固めた。だが、見張りは続く

今日やったことを並べると、こうなる。

• パスワード認証を無効化
• ed25519 鍵認証（パスフレーズ付き）に切り替え
• fail2ban で自動BAN体制を構築
• PC・モバイル両方からの接続経路を確保
• .env の権限を 600 に締める

これで、ありふれた攻撃のほとんどは弾ける。残るのは：

• 鍵そのものの紛失や盗難
• パスフレーズの漏洩
• もっと洗練された標的型攻撃（小規模ノードに来る可能性は低い）

つまり「自分の管理ミスでしか侵害されない状態」まで持っていけた。

それでも、これで終わりではない。城門を固めても、見張りは続けなければならない。

• 定期的に fail2ban-client status sshd で BAN状況を確認する
• OS のセキュリティアップデートを当て続ける
• last コマンドで最近のログイン履歴をチェックする
• 不審なプロセスがないか時々確認する

ノードを建てるとは、自分の城を持つこと。そして城を持つということは、それを守り続ける責任を負うことでもある。