Base de conocimientosLos runbooks, completos, en una página.

Si tiene intención de enviar correo, esto no es opcional — un PTR que no coincide es el motivo más común por el que una IP nueva es rechazada en todas partes.

1. 01
   Apunte primero un nombre de host a la IP El registro directo debe existir antes de que el inverso signifique algo.

   mail.example.com.  A  203.0.113.10

   Copiar
2. 02
   Solicite el PTR Servicios → la máquina → Otra cosa, e indíquenos el nombre de host. Configurado el mismo día.
3. 03
   Confirme que ambos sentidos coinciden La resolución directa e inversa tienen que coincidir, o no ha conseguido nada.

   dig +short mail.example.com
   dig +short -x 203.0.113.10

   Copiar

¿Ejecuta un nodo de salida de Tor? Configure un PTR que lo indique. Le ahorra a cada operador que ve su tráfico una tarea de investigación, y le ahorra a usted los informes de abuso que resultan de que adivinen.

Cerrado por defecto en cada máquina nueva. No para impedirle enviar correo, sino para impedir que una máquina desatendida adquiera una reputación que después hereda el resto del rango.

1. 01
   Pregunte, y diga para qué es Una frase basta. Comprobamos que hay una persona detrás, no auditamos su negocio.
2. 02
   Configure su PTR antes de enviar nada Vea la entrada de DNS inverso arriba. Enviar primero y arreglar el DNS después significa empezar su reputación en un agujero.
3. 03
   Publique SPF, DKIM y DMARC Las tres. Dos de tres es un problema de entregabilidad que le llevará una semana diagnosticar.

El correo masivo no solicitado está prohibido por la política de uso aceptable, y siempre lo estará. El correo transaccional, los boletines que la gente pidió y su propia correspondencia no lo están.

Cada máquina recibe un /64 sin cargo. Asignaciones mayores bajo petición, también sin cargo.

1. 01
   Encuentre el prefijo En el panel de la máquina, en el área de cliente, junto a la IPv4.
2. 02
   Configúrelo de forma estática Debian y Ubuntu, en /etc/netplan o /etc/network/interfaces.

   ip -6 addr add 2001:db8:1234:5678::2/64 dev eth0
   ip -6 route add default via 2001:db8:1234:5678::1

   Copiar
3. 03
   Pruebe ambas familias Un host que responde en v4 y falla en silencio en v6 es peor que uno sin v6 en absoluto.

   ping6 -c3 2606:4700:4700::1111

   Copiar

El espacio de direcciones no se mide y aquí no se venden direcciones adicionales por unidad.

El orden de estos pasos es lo esencial. Permita SSH antes de fijar la política predeterminada, siempre, sin excepción.

1. 01
   Permita primero lo que necesita SSH, y luego sus servicios.

   ufw allow 22/tcp
   ufw allow 80,443/tcp

   Copiar
2. 02
   Solo entonces establezca el valor predeterminado Invertir estas dos líneas es como la gente termina solicitando una consola.

   ufw --force enable

   Copiar
3. 03
   Verifique desde otro lugar Desde otra máquina, no desde la sesión que ya tiene abierta.

   nmap -Pn -p 22,80,443 203.0.113.10

   Copiar

El filtrado DDoS ocurre en el borde y no se ve afectado por nada de lo que usted haga aquí. Su firewall gestiona lo que llega a sus puertos; el nuestro gestiona lo que nunca llega a ellos.

Su cuenta contiene un saldo y puede realizar pedidos. Merece más protección que las propias máquinas.

1. 01
   Use una contraseña que no use en ningún otro sitio No hay documento de identidad detrás de esta cuenta, lo que significa que ningún agente de soporte podrá restaurársela jamás. Ese es el trato que usted eligió, y merece respetarse.
2. 02
   Active la autenticación en dos factores Área de cliente → Cuenta. Cualquier aplicación TOTP.
3. 03
   Guarde la clave de la cuenta en algún lugar sin conexión Se requiere para confirmar un retiro si la verificación en dos pasos no está activada, y nadie puede reemitirla.

Guardamos un hash de su contraseña y nada más. Perder tanto la contraseña como la dirección de correo de la cuenta es irrecuperable, por diseño.

Permitido, incluidos los nodos de salida, en hardware dedicado. Avisarnos cuando despliegue uno cambia cómo se lee el primer informe de abuso al respecto.

1. 01
   Díganos que es un exit Para que un informe sobre su dirección parta del supuesto correcto en lugar de parecer una máquina de cliente comprometida.
2. 02
   Configure un PTR que diga lo que es Algo inequívoco. Todo operador que vea su tráfico lo buscará.
3. 03
   Publique los datos de contacto en el descriptor del repetidor Y ejecute la política de salida reducida, salvo que tenga un motivo para no hacerlo.

Los nodos de salida van en su propia máquina, no junto a sus servicios de producción. No es una regla nuestra, simplemente lo que ocurre cuando una dirección acumula informes.

Normalmente nada, y esa es la respuesta buscada. El filtrado está siempre activo en el borde y el tráfico volumétrico nunca llega a su puerto.

1. 01
   Compruebe si realmente le está llegando Si su puerto no está saturado, el filtrado está haciendo su trabajo y el ataque es problema de otro.

   ss -s; vnstat -tr 10

   Copiar
2. 02
   Dígannos si es de capa de aplicación El filtrado de capa 7 tiene que entender cómo es una solicitud normal a su aplicación, así que se configura con usted en lugar de adivinarse.
3. 03
   No espere una factura La mitigación no se mide aquí. Un ataque le cuesta lo mismo que un martes tranquilo.

Nunca le aplicaremos un null-route como primera respuesta. Si alguna vez se llegara a eso, un ingeniero ya estaría hablando con usted antes de que ocurriera.

Todo funciona desde un único saldo. Usted lo recarga, los servicios consumen de él, y no hay factura que perseguir ni tarjeta que caduque.

1. 01
   Elija un importe y un activo Mínimo treinta dólares. Las recargas mayores llevan una bonificación que se acredita en el mismo momento que el pago.
2. 02
   Envíe exactamente lo que muestra el pago La dirección es solo suya y no se reutiliza. Los pagos insuficientes se acreditan por lo que llegó, no se rechazan.
3. 03
   El saldo se mueve tras la confirmación Entre veinte segundos y veinte minutos según la cadena. La tabla de la página de pagos tiene la cifra por activo.

El saldo nunca caduca y no se le retira por inactividad.

Un servicio descuenta del saldo en su fecha de renovación. Nada se cobra antes de vencer y nada le renueva a un plazo que usted no eligió.

1. 01
   Mantenga el saldo por encima del próximo cargo El área de cliente muestra el margen en días y la fecha exacta del próximo cargo.
2. 02
   Si el saldo es insuficiente Se le avisa antes de la fecha, no después. El servicio no se destruye en la misma hora en que vence.
3. 03
   Cancelando Servicios → la máquina → Cancelar. Sigue activo hasta el final del período ya pagado.

Los ciclos más largos tienen descuento de hasta el 35 % a veinticuatro meses, pagados por adelantado. El descuento se aplica a todo el plazo, no al primer mes.

Dos situaciones, dos respuestas distintas, ambas por escrito antes de que las necesite.

1. 01
   Un servicio que no funciona como se describe Reembolsado al saldo, en su totalidad, sin discusión sobre cuántos días lo usó.
2. 02
   Un servicio que ya no desea Corre hasta el final del período que pagó. Los períodos prepagados de varios meses tienen descuento precisamente porque están prepagados.
3. 03
   Una cuenta dada de baja El saldo no utilizado se devuelve, salvo cuando la cancelación se debió a una de las dos categorías prohibidas.

El saldo se devuelve en el activo que solicite, a una dirección que usted indique. No hay banco al que enviarlo ni tarjeta a la que revertirlo.