Configurazione e gestione

Esegui ssh root@tuo-server-ip da qualsiasi terminale su macOS, Linux o Windows 10 e versioni successive. Usa la chiave fornita al provisioning o la password inviata via email. La prima connessione mostra un'impronta della chiave host: confrontala con quella nel pannello di controllo prima di accettarla.

Cinque passaggi coprono la stragrande maggioranza delle compromissioni reali: SSH tramite chiave con autenticazione con password disabilitata, nessun accesso root diretto, firewall con default deny, aggiornamenti di sicurezza automatici e fail2ban o equivalente. Insieme richiedono circa dieci minuti ed eliminano essenzialmente tutti gli attacchi automatizzati.

Disabilita completamente l'autenticazione tramite password: la forza bruta contro SSH tramite chiave non è possibile. Aggiungi fail2ban per ridurre il rumore dei log e valuta di spostare SSH dalla porta 22 per ridurre il volume degli scanner di circa il 95%. L'opzione più forte è mettere SSH dietro WireGuard così non è mai esposto a internet.

Usa nftables su Linux moderno, o ufw come frontend più amichevole. Imposta la policy di default per il traffico in ingresso su drop, consenti le connessioni stabilite e correlate, quindi consenti solo le porte che servi effettivamente. Consenti sempre la tua porta SSH prima di abilitare la policy, o la console sarà l'unico modo per rientrare.

Su KVM, sì. OnionVPS fornisce template per Ubuntu, Debian, AlmaLinux, Rocky, Fedora, Arch, Alpine, NixOS, FreeBSD, OpenBSD, Windows Server, Proxmox e altri, e puoi caricare un ISO personalizzato e installare qualsiasi cosa si avvii. Su virtualizzazione basata su container come OpenVZ, sei limitato ai template Linux forniti dall'host.

Sì, su ogni piano, senza costi e senza passaggi di approvazione. Carica l'ISO dal pannello o indicaci un URL, allegalo come supporto virtuale e avvialo tramite la console VNC. Qualsiasi cosa che si avvii su hardware KVM standard si installerà, inclusi BSD, immagini hardening e appliance.

KVM (Kernel-based Virtual Machine) è la virtualizzazione hardware completa integrata nel kernel Linux, che usa le estensioni del processore per eseguire ogni guest con il proprio kernel e isolamento hardware-enforced. A differenza di OpenVZ o LXC, che condividono il kernel host, un guest KVM può caricare moduli del kernel, eseguire qualsiasi sistema operativo e usare swap reale.

Su una VPS KVM, sì, senza restrizioni: installa Docker Engine dal repository ufficiale e funziona tutto, inclusi buildx, Compose e Docker-in-Docker. Su server virtuali basati su OpenVZ o LXC, Docker non funziona o richiede una configurazione host non sicura, perché ha bisogno di cgroups e namespace che la virtualizzazione a kernel condiviso non espone.

Sì. La virtualizzazione annidata è abilitata su ogni istanza OnionVPS, quindi puoi eseguire guest KVM all'interno della tua istanza, installare Proxmox VE, o eseguire Docker-in-Docker e job CI basati su VM. Molti provider la disabilitano, che è il solito motivo per cui Proxmox e alcune configurazioni CI falliscono altrove.

Sì, la porta 25 in uscita è aperta su ogni istanza OnionVPS per impostazione predefinita. Non è richiesto un ticket di supporto, né un requisito di anzianità dell'account, né uno sblocco a pagamento. La maggior parte dei provider la blocca permanentemente per controllare lo spam, motivo per cui la posta self-hosted è impossibile in gran parte del mercato.

Sì, sia per IPv4 che per IPv6, direttamente dal pannello di controllo, e le modifiche si propagano in pochi minuti. Il DNS inverso è essenziale per la posta: molti grandi ricevitori rifiutano messaggi da un indirizzo il cui record PTR non risolve al nome host mittente.

Sì. La porta 25 è aperta, il DNS inverso è self-service e il nostro spazio di indirizzi non ha storia di spam. Mailcow o Stalwart ti danno uno stack completo in una sera. La difficoltà non è l'installazione — è la consegna, che dipende da SPF, DKIM, DMARC, un PTR corrispondente e un warm-up paziente.

Ogni istanza include un indirizzo IPv4 e una subnet IPv6 /64 instradata: 18 quintilioni di indirizzi v6, non uno solo. Fino a otto indirizzi IPv4 aggiuntivi possono essere aggiunti per istanza a $3 al mese ciascuno, dal pannello, senza modulo di giustificazione e senza periodo di attesa.

Sì, una subnet /64 instradata su ogni istanza, a ogni livello, senza costi. Non un singolo indirizzo: un'intera subnet instradata al tuo server, così ogni container o servizio può avere il proprio indirizzo IPv6 pubblico senza traduzione degli indirizzi di rete.

Uno snapshot è una copia point-in-time del disco della tua istanza, presa istantaneamente e memorizzata sulla stessa infrastruttura. Un backup è una copia memorizzata altrove. Gli snapshot proteggono dai tuoi stessi errori; i backup proteggono dal guasto dell'infrastruttura. Ti servono entrambi, e tre snapshot sono inclusi gratuitamente in ogni piano.

Segui la regola 3-2-1: tre copie, su due tipi di supporti, una fuori sede. In pratica significa snapshot per un rollback rapido, più un backup notturno crittografato con restic o Borg verso una giurisdizione diversa, più un ripristino che hai effettivamente testato. Un backup non testato è un'ipotesi.

Usa la console VNC out-of-band nel pannello, riavvia in modalità single-user o rescue dal bootloader, rimonta il filesystem root in lettura-scrittura ed esegui passwd. Ci vogliono circa due minuti e non serve un ticket di supporto. Se il disco è crittografato con LUKS e hai perso la passphrase, i dati sono irrecuperabili per progettazione.

Una console out-of-band si collega al display e alla tastiera virtuali della tua istanza tramite il pannello di controllo, indipendentemente dalla sua rete. È il modo per risolvere una regola del firewall che ti ha bloccato fuori, una configurazione SSH rotta o un errore di avvio — senza aprire un ticket di supporto. Funziona anche quando l'istanza non ha alcuna rete.

I dati devono spostarsi fisicamente, quindi un cambio di regione è una ricostruzione piuttosto che una migrazione live. Distribuisci la nuova istanza, sincronizza i dati con rsync o un ripristino di restic, verifica, sposta il DNS con un TTL breve, poi distruggi la vecchia. Prevedi da 30 a 90 minuti a seconda del volume di dati.

Usa Ubuntu LTS se stai imparando o vuoi il maggior numero di tutorial e pacchetti più recenti. Usa Debian per un server minimale, prevedibile e longevo — ha un consumo di memoria in idle circa la metà, senza Snap e senza telemetria del fornitore. Entrambi usano lo stesso formato di pacchetti, quindi la maggior parte delle istruzioni si applica direttamente.