# วิธีตั้งค่า Linux Cloud Server ใหม่ให้ปลอดภัยตั้งแต่วันแรก บน Ubuntu 26.04 LTS

> คู่มือตั้งค่า Linux Cloud Server บน Ubuntu 26.04 LTS ให้ปลอดภัย 9 ขั้น ทั้งผู้ใช้ sudo, SSH key, ปิดรหัสผ่านและ root, ufw, อัปเดตอัตโนมัติ, เวลา, backup และ log

- ประเภท: คู่มือ · หมวด: Cloud
- เผยแพร่: 2026-10-22T12:42:00.000Z · อัปเดต: 2026-10-22T12:42:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/cloud/secure-new-linux-cloud-server-ubuntu-26-04/

## สรุปประเด็นสำคัญ

- ขั้นตอนตรวจกับ **Ubuntu 26.04.1 LTS** รุ่น LTS ล่าสุดที่ ubuntu.com ระบุว่าได้อัปเดตความปลอดภัยและบำรุงรักษาฟรี **5 ปี** ขยายได้ถึง 15 ปีด้วย Ubuntu Pro
- ปิดการเข้า Linux Cloud Server ด้วยรหัสผ่านและบัญชี root ด้วย `PasswordAuthentication no` และ `PermitRootLogin no` แล้วตรวจด้วย `sudo sshd -t` ก่อนรีสตาร์ตทุกครั้ง
- ufw ปิดอยู่เป็นค่าเริ่มต้น ต้อง `sudo ufw allow 22` ก่อน `sudo ufw enable` เพราะการเปิด firewall อาจตัด SSH เดิม ส่วน `ufw limit` ปฏิเสธ IP ที่เปิดการเชื่อมต่อ **6 ครั้งขึ้นไปใน 30 วินาที**
- unattended-upgrades ติดตั้งมาและติดตั้งอัปเดตความปลอดภัยวันละ **1 ครั้ง** ส่วนเวลาใช้ chrony แบบ NTS ซึ่งต้องออกพอร์ต **4460/tcp** และ **123/udp** ได้

Linux Cloud Server ที่เพิ่งสร้างเสร็จควรตั้งค่าความปลอดภัยพื้นฐานก่อนติดตั้งงานใด ๆ คู่มือนี้พาทำ 9 ขั้นบน Ubuntu 26.04 LTS ตั้งแต่อัปเดตแพ็กเกจ สร้างผู้ใช้ sudo ใช้ SSH key ปิดการเข้าด้วยรหัสผ่านและ root เปิด firewall ด้วย ufw ตรวจอัปเดตอัตโนมัติ ตั้งเวลา ทำ backup ไปจนถึงดู log ใช้ได้ไม่ว่าเครื่องจะอยู่กับผู้ให้บริการคลาวด์รายใด

คำสั่งทั้งหมดตรวจกับเอกสาร Ubuntu Server และ man page ของ Ubuntu 26.04 (ชื่อรหัส resolute) ณ ตุลาคม 2026 หน้า download ของ ubuntu.com ระบุว่า Ubuntu 26.04.1 LTS คือรุ่น LTS ล่าสุด ได้อัปเดตความปลอดภัยและบำรุงรักษาฟรี 5 ปี ขยายได้ถึง 15 ปีด้วย Ubuntu Pro ส่วน [Ubuntu 26.10 ที่เพิ่งออก](/software/ubuntu-26-10-stonking-stingray-rust-coreutils/) ไม่ใช่รุ่น LTS

## ก่อนตั้งค่า Linux Cloud Server ต้องเตรียมอะไร

- เครื่องที่ติดตั้ง Ubuntu 26.04 LTS พร้อม IP และชื่อผู้ใช้เริ่มต้นที่ผู้ให้บริการกำหนด
- คอมพิวเตอร์ที่มี OpenSSH client (บน Ubuntu ติดตั้งด้วย `sudo apt install openssh-client`)
- ช่องทางเข้าเครื่องที่ไม่ผ่าน SSH เช่น console บนหน้าเว็บของผู้ให้บริการ (ถ้ามี) เผื่อพลาดจนเข้าไม่ได้
- **เปิดหน้าต่าง SSH ค้างไว้ 1 หน้าต่างตลอดการแก้ SSH และ firewall** เอกสาร Ubuntu เตือนว่าถ้า SSH เป็นทางเข้าเดียวแล้วตั้งค่าผิด อาจถูกล็อกออกหลังรีสตาร์ต
- ทำ snapshot ของเครื่องก่อนเริ่ม ถ้าผู้ให้บริการมีให้

| ขั้นตอน | สิ่งที่ทำ | ตรวจผลด้วย |
| --- | --- | --- |
| 1 | อัปเดตแพ็กเกจ | `sudo apt update && sudo apt upgrade` |
| 2 | สร้างผู้ใช้ sudo | ล็อกอินด้วยผู้ใช้ใหม่แล้วใช้ sudo ได้ |
| 3 | ใช้ SSH key | เข้าเครื่องได้โดยไม่ถูกถามรหัสผ่าน |
| 4 | ปิดรหัสผ่านและ root login | `sudo sshd -t` และ `sudo sshd -T` |
| 5 | เปิด ufw | `sudo ufw status verbose` |
| 6 | อัปเดตอัตโนมัติ | `sudo unattended-upgrade -v --dry-run` |
| 7 | เวลาและเขตเวลา | `timedatectl status` |
| 8 | snapshot และ backup | ทดลองกู้คืนจริง |
| 9 | ดู log | `sudo journalctl -u ssh.service --since today` |

## ขั้นตอนที่ 1: อัปเดต Linux Cloud Server ให้เป็นปัจจุบัน

ล็อกอินเข้า Linux Cloud Server ด้วยบัญชีที่ผู้ให้บริการให้มา แล้วอัปเดตแพ็กเกจทั้งหมดก่อนทำอย่างอื่น เอกสาร Security suggestions ของ Ubuntu แนะนำให้รันคำสั่งนี้เป็นประจำ

```
sudo apt update && sudo apt upgrade
```

ถ้ามีไฟล์ /var/run/reboot-required ซึ่งเป็นไฟล์ที่ unattended-upgrades ใช้ตัดสินว่าต้องรีสตาร์ต ให้รีสตาร์ตก่อนทำขั้นต่อไป เอกสารเดียวกันแนะนำให้ลบแพ็กเกจที่ไม่ใช้เพื่อลดช่องทางโจมตี และเลี่ยง repository ของบุคคลที่สามถ้าไม่จำเป็น

## ขั้นตอนที่ 2: สร้างผู้ใช้ sudo บน Linux Cloud Server แทนการใช้ root

Ubuntu ปิดบัญชี root เป็นค่าเริ่มต้น โดยให้ hash รหัสผ่านที่ไม่ตรงกับค่าใดเลย และให้ผู้ดูแลใช้ sudo ยกสิทธิ์ชั่วคราวด้วยรหัสผ่านของตัวเอง ซึ่งตรวจย้อนได้ว่าใครทำอะไร ถ้าผู้ให้บริการให้เข้าด้วย root หรือผู้ใช้เริ่มต้นที่ใช้ร่วมกัน ให้สร้างผู้ใช้ของตัวเองแล้วเพิ่มเข้ากลุ่ม sudo

```
sudo adduser username
sudo adduser username sudo
```

เปลี่ยน username เป็นชื่อจริง คำสั่งแรกจะถามรหัสผ่านและข้อมูลผู้ใช้ รหัสผ่านนี้ยังใช้กับ sudo จึงควรตั้งให้ยาวและไม่ซ้ำ ตั้งแต่ Ubuntu 25.10 คำสั่ง sudo มาจากแพ็กเกจ sudo-rs ส่วน sudo.ws ยังมีให้ใน 26.04 LTS และ home directory ของผู้ใช้ใหม่ถูกสร้างด้วยสิทธิ์ 0750 ให้เข้าถึงได้เฉพาะเจ้าของและกลุ่ม ([User management](https://ubuntu.com/server/docs/how-to/security/user-management/))

## ขั้นตอนที่ 3: ใช้ SSH key เข้า Linux Cloud Server แทนรหัสผ่าน

ทำบนคอมพิวเตอร์ของตัวเอง ไม่ใช่บน Linux Cloud Server โดย Ubuntu แนะนำอัลกอริทึม ed25519 เพราะกุญแจสั้นและใช้การคำนวณน้อย (ถ้าจำเป็นต้องใช้ RSA ให้ใช้ `-t rsa -b 4096`)

```
ssh-keygen -t ed25519
ssh-copy-id username@target_machine
```

ระหว่างสร้างกุญแจ ระบบจะถาม passphrase ควรตั้งไว้ เพื่อให้ private key ที่หลุดไปถูกนำไปใช้ทันทีไม่ได้ public key อยู่ที่ ~/.ssh/id_ed25519.pub ส่วน ~/.ssh/id_ed25519 คือ private key ห้ามส่งให้ใคร ถ้าใส่ public key ไว้ตอนสร้างเครื่องแล้ว ข้าม ssh-copy-id ได้

![เอกสาร Ubuntu Server แนะนำสร้างกุญแจด้วย ssh-keygen -t ed25519 ส่ง public key ด้วย ssh-copy-id และตรวจสิทธิ์ไฟล์ authorized_keys](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-new-linux-cloud-server-ubuntu-26-04/ubuntu-ssh-key-ed25519-steps.webp?v=5513bbc5) _(ภาพ: Canonical (ภาพหน้าจอ))_

บนเซิร์ฟเวอร์ ให้ตรวจว่าไฟล์ authorized_keys เขียนได้เฉพาะเจ้าของ ถ้าไม่ใช่ให้แก้ด้วย `chmod go-w .ssh/authorized_keys` จากนั้นเปิด terminal ใหม่แล้วลอง `ssh username@target_machine` ต้องเข้าได้โดยไม่ถูกถามรหัสผ่านของบัญชี (การถาม passphrase ของกุญแจถือว่าปกติ) ถ้ายังถูกถามรหัสผ่าน อย่าเพิ่งทำขั้นที่ 4

## ขั้นตอนที่ 4: ปิดการเข้า Linux Cloud Server ด้วยรหัสผ่านและ root

ค่าของ OpenSSH server (sshd) อยู่ใน /etc/ssh/sshd_config และไฟล์ย่อยใน /etc/ssh/sshd_config.d/ Ubuntu ใส่บรรทัด `Include /etc/ssh/sshd_config.d/*.conf` ไว้บนสุด [man page sshd_config(5)](https://manpages.ubuntu.com/manpages/resolute/man5/sshd_config.5.html) ระบุว่า sshd ใช้ค่าแรกที่อ่านได้ และไฟล์ที่ Include จะถูกอ่านเรียงตามตัวอักษร ค่าในไฟล์ย่อยจึงชนะไฟล์หลัก ถ้ามีไฟล์ย่อยอื่นตั้งค่าเดียวกันไว้ก่อน ค่านั้นจะชนะ จึงควรตั้งชื่อไฟล์ของเราให้ขึ้นต้นด้วย 00-

1. สำรองไฟล์เดิมและกันไม่ให้แก้ทับ

```
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.original
sudo chmod a-w /etc/ssh/sshd_config.original
```

2. สร้างไฟล์ /etc/ssh/sshd_config.d/00-hardening.conf ด้วย editor ที่ใช้อยู่ผ่าน sudo แล้วใส่สองบรรทัดนี้

```
PasswordAuthentication no
PermitRootLogin no
```

3. ตรวจไวยากรณ์ก่อนรีสตาร์ตด้วย `sudo sshd -t` ถ้าคำสั่งไม่แจ้งข้อผิดพลาดจึงรีสตาร์ตด้วย `sudo systemctl restart ssh.service`
4. รัน `sudo sshd -T` เพื่อดูค่าที่ใช้งานจริง ต้องเห็น PasswordAuthentication และ PermitRootLogin เป็น no
5. เปิด terminal ใหม่แล้วลอง SSH ด้วย key อีกครั้ง ปิดหน้าต่างเดิมเมื่อเข้าได้แล้วเท่านั้น

## ทำไมต้องระวังการแก้ sshd_config บน Linux Cloud Server

ค่าเริ่มต้นของ PermitRootLogin คือ prohibit-password ซึ่งยังให้ root เข้าด้วย key ได้ ส่วน no ปิด root ทุกทาง แพ็กเกจของ Ubuntu ตั้ง KbdInteractiveAuthentication no ไว้แล้ว และ man page เตือนว่า keyboard-interactive ผ่าน PAM มักทำหน้าที่เทียบเท่าการใช้รหัสผ่าน จึงไม่ควรเปิดกลับ

![คำเตือนในเอกสาร OpenSSH server ของ Ubuntu ว่าถ้า SSH เป็นทางเข้าเดียวแล้วตั้งค่า sshd ผิด อาจถูกล็อกออกจากเซิร์ฟเวอร์หลังรีสตาร์ต](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-new-linux-cloud-server-ubuntu-26-04/ubuntu-sshd-lockout-warning.webp?v=11792a66) _(ภาพ: Canonical (ภาพหน้าจอ))_

ถ้าอยากจำกัดว่าใครเข้า SSH ได้ เอกสาร User management ของ Ubuntu แนะนำ `AllowGroups sshlogin` แล้วเพิ่มผู้ใช้เข้ากลุ่ม sshlogin ต้องเพิ่มตัวเองเข้ากลุ่มก่อนรีสตาร์ต ไม่เช่นนั้นจะถูกล็อกออกเช่นกัน

## ขั้นตอนที่ 5: เปิด firewall ของ Linux Cloud Server ด้วย ufw

ufw เป็นเครื่องมือตั้ง firewall มาตรฐานของ Ubuntu ปิดอยู่เป็นค่าเริ่มต้น เมื่อเปิดแล้วจะปฏิเสธขาเข้าและอนุญาตขาออกเป็นค่าเริ่มต้น [man page ufw(8)](https://manpages.ubuntu.com/manpages/resolute/man8/ufw.8.html) เตือนว่า `ufw enable` จะล้างกฎเดิมซึ่งอาจตัดการเชื่อมต่อ SSH ที่ใช้อยู่ ต้องอนุญาตพอร์ต 22 ก่อนเสมอ

```
sudo ufw allow 22
sudo ufw enable
sudo ufw status verbose
```

![man page ufw(8) ส่วน REMOTE MANAGEMENT อธิบายว่า ufw enable ล้างกฎและอาจตัดการเชื่อมต่อ SSH จึงต้องเพิ่มกฎพอร์ต 22 ก่อนเปิด firewall](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-new-linux-cloud-server-ubuntu-26-04/ufw-remote-management-manpage.webp?v=9db63355) _(ภาพ: Ubuntu Manpage Repository (ภาพหน้าจอ))_

ufw จะถามยืนยันเมื่อเปิดผ่าน SSH ถ้าอยากกันการเดารหัสผ่านเพิ่ม ใช้ `sudo ufw limit ssh/tcp` แทน allow ซึ่งปฏิเสธ IP ที่เปิดการเชื่อมต่อ 6 ครั้งขึ้นไปใน 30 วินาที ถ้าเข้าจาก IP คงที่ จำกัดเฉพาะ IP นั้นได้ด้วย `sudo ufw allow proto tcp from 192.168.0.2 to any port 22` (เปลี่ยนเป็น IP จริง)

## เปิดพอร์ตอื่นบน Linux Cloud Server อย่างไรให้ปลอดภัย

เปิดเฉพาะพอร์ตที่บริการใช้จริง และดูผลก่อนด้วย `--dry-run` เช่น `sudo ufw --dry-run allow http` ซึ่งแสดงกฎที่จะเกิดขึ้นโดยไม่บันทึก ดูกฎพร้อมหมายเลขด้วย `sudo ufw status numbered` ถ้าผู้ให้บริการมี firewall ระดับเครือข่ายแยกต่างหาก ให้เปิดพอร์ตให้ตรงกันทั้งสองชั้น และอย่าบล็อกขาออก 4460/tcp กับ 123/udp ที่ chrony ใช้ในขั้นตอนที่ 7

## ขั้นตอนที่ 6: ตรวจว่า Linux Cloud Server ติดตั้งอัปเดตความปลอดภัยเอง

แพ็กเกจ unattended-upgrades ติดตั้งมากับ Ubuntu และเปิดติดตั้งอัปเดตความปลอดภัยทันทีหลังติดตั้งเครื่อง รวม Expanded Security Maintenance (ESM) ถ้ามี ทำงานวันละ 1 ครั้ง ให้ตรวจว่าไฟล์ /etc/apt/apt.conf.d/20auto-upgrades มีสองบรรทัดนี้ (ค่า 0 คือปิด)

```
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
```

![เอกสาร Automatic updates ของ Ubuntu ระบุว่า unattended-upgrades เปิดติดตั้งอัปเดตความปลอดภัยหลังติดตั้งและทำงานวันละครั้ง พร้อมค่า 1 ในไฟล์ 20auto-upgrades](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-new-linux-cloud-server-ubuntu-26-04/ubuntu-unattended-upgrades-20auto-upgrades.webp?v=f9012134) _(ภาพ: Canonical (ภาพหน้าจอ))_

ถ้าไม่มีแพ็กเกจ ติดตั้งด้วย `sudo apt install unattended-upgrades` ทดสอบโดยไม่ติดตั้งจริงด้วย `sudo unattended-upgrade -v --dry-run` และดู log ได้ที่ /var/log/unattended-upgrades

## Linux Cloud Server ควรรีสตาร์ตเองหลังอัปเดตไหม

ค่าเริ่มต้นไม่รีสตาร์ตเอง ถ้าต้องการ ให้แก้ /etc/apt/apt.conf.d/50unattended-upgrades เช่น

```
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "02:00";
```

เวลาแบบ hh:mm ใช้เขตเวลาของเครื่อง จึงควรตั้งเขตเวลาในขั้นตอนที่ 7 ก่อน ส่วนบริการที่ใช้ไลบรารีที่ถูกอัปเดต needrestart จะรีสตาร์ตให้เองตั้งแต่ Ubuntu 24.04 LTS ถ้ามีบริการสำคัญที่ไม่อยากให้รีสตาร์ตกลางวัน ตั้งยกเว้นได้ใน /etc/needrestart/conf.d/

## ขั้นตอนที่ 7: ตั้งเขตเวลาและนาฬิกาของ Linux Cloud Server ให้ตรง

ตั้งแต่ Ubuntu 25.10 ระบบใช้ chrony ซิงก์เวลาเป็นค่าเริ่มต้นแทน systemd-timesyncd ตรวจด้วย `timedatectl status` ต้องเห็น System clock synchronized: yes และ NTP service: active ดูรายละเอียดเพิ่มด้วย `chronyc -N tracking`

chrony ใช้ Network Time Security (NTS) กับ pool ของ Ubuntu เป็นค่าเริ่มต้น ซึ่งต้องออกพอร์ต 4460/tcp และ 123/udp ได้ [เอกสาร chrony ของ Ubuntu](https://ubuntu.com/server/docs/how-to/networking/chrony-client/) เตือนว่าถ้าเครือข่ายบล็อก chrony จะปรับนาฬิกาไม่ได้ ทางแก้คือเปิดพอร์ต หรือแก้ /etc/chrony/sources.d/ubuntu-ntp-pools.sources กลับไปใช้ NTP

ทีมในไทยที่อยากให้ log และเวลารีสตาร์ตเป็นเวลาไทย ให้ดูชื่อเขตเวลาด้วย `timedatectl list-timezones` แล้วตั้ง

```
sudo timedatectl set-timezone Asia/Bangkok
```

## ขั้นตอนที่ 8: ทำ snapshot และ backup ของ Linux Cloud Server ที่กู้คืนได้จริง

snapshot จากหน้าเว็บของผู้ให้บริการช่วยย้อน Linux Cloud Server กลับได้เร็ว ควรทำหลังตั้งค่าเสร็จเป็นจุดตั้งต้น และก่อนการเปลี่ยนแปลงใหญ่ทุกครั้ง แต่ snapshot ยังอยู่กับผู้ให้บริการรายเดียว [เอกสาร Backups ของ Ubuntu](https://ubuntu.com/server/docs/how-to/backups/) แนะนำให้วางแผนว่าจะสำรองอะไร บ่อยแค่ไหน เก็บที่ไหน และกู้คืนอย่างไร พร้อมเก็บสำเนาไว้นอกสถานที่

เครื่องมือที่เอกสารแนะนำคือ rsnapshot สำหรับเครื่องเดียว ซึ่งทำ snapshot ของไฟล์ไว้ในเครื่องหรือส่งไปเครื่องอื่นผ่าน SSH และ Bacula สำหรับหลายเครื่องผ่านเครือข่าย ส่วน etckeeper เก็บประวัติไฟล์ใน /etc ด้วย git ช่วยย้อนค่าที่แก้ผิดได้ บทเรียนจาก[เหตุแรนซัมแวร์ IDCF Cloud ที่ลูกค้าต้องพึ่งแบ็กอัปของตัวเอง](/cloud/idcf-cloud-ransomware-japan-495-organisations/) คืออย่าเก็บสำเนาทั้งหมดไว้ที่เดียว และต้องทดลองกู้คืนจริงอย่างน้อยหนึ่งครั้ง

## ขั้นตอนที่ 9: ดู log ว่าใครพยายามเข้า Linux Cloud Server

```
sudo journalctl -u ssh.service --since today
sudo journalctl -fu ssh.service
sudo journalctl -p err -b
sudo ufw logging on
```

บรรทัดแรกแสดง log การเข้า Linux Cloud Server ผ่าน SSH ตั้งแต่เที่ยงคืนวันนี้ บรรทัดที่สองดูแบบสดจนกด Ctrl-C ซึ่ง Ubuntu แนะนำไว้สำหรับแก้ปัญหาการล็อกอินด้วย key บรรทัดที่สามแสดงข้อความระดับ err ขึ้นไปตั้งแต่บูตครั้งล่าสุด และบรรทัดสุดท้ายเปิด log ของ ufw ที่ระดับ low ซึ่งบันทึกแพ็กเก็ตที่ถูกบล็อก บนระบบที่ใช้ rsyslog อาจอยู่ใน /var/log/ufw.log ด้วย

## ตั้งค่า Linux Cloud Server แล้วมีปัญหา แก้อย่างไร

| อาการ | สาเหตุที่พบบ่อย | วิธีแก้ |
| --- | --- | --- |
| เข้าด้วย key ไม่ได้ | public key ไม่อยู่ใน authorized_keys หรือสิทธิ์ไฟล์ผิด | ใช้หน้าต่างที่เปิดค้าง รัน `chmod go-w .ssh/authorized_keys` และดู `sudo journalctl -fu ssh.service` |
| รีสตาร์ต ssh.service ไม่ขึ้น | ค่าในไฟล์ผิดไวยากรณ์ | รัน `sudo sshd -t` หาบรรทัดที่ผิด |
| ยังเข้าด้วยรหัสผ่านได้ | ไฟล์ย่อยอื่นตั้งค่าไว้ก่อน | ดู `sudo sshd -T` และไฟล์ใน /etc/ssh/sshd_config.d/ |
| เปิด ufw แล้วหลุด | ไม่ได้อนุญาตพอร์ต 22 ก่อน | เข้าผ่าน console ของผู้ให้บริการ แล้ว `sudo ufw allow 22` |
| ไม่มีอัปเดตอัตโนมัติ | ค่าใน 20auto-upgrades เป็น "0" | แก้เป็น "1" แล้วทดสอบด้วย `--dry-run` |
| นาฬิกาไม่ซิงก์ | เครือข่ายบล็อก 4460/tcp หรือ 123/udp | เปิดพอร์ตขาออก หรือกลับไปใช้ NTP |
| ผู้ใช้ที่ล็อกรหัสผ่านยังเข้าได้ | ยังมี key ใน authorized_keys | ลบหรือเปลี่ยนชื่อโฟลเดอร์ .ssh ของผู้ใช้นั้น |

แถวสุดท้ายมาจากเอกสาร User management ของ Ubuntu ซึ่งย้ำว่าการล็อกรหัสผ่านไม่ได้กันการเข้าด้วย SSH key

## ใช้คู่มือนี้กับ Linux Cloud Server ในองค์กรไทยอย่างไร

ขั้นตอนทั้ง 9 ข้อไม่ขึ้นกับผู้ให้บริการ จึงใช้ได้ทั้งเครื่องใน Region ไทย สิงคโปร์ หรือผู้ให้บริการในประเทศ สิ่งที่ต่างกันมีแค่หน้าเว็บสำหรับ snapshot, console สำรอง และ firewall ระดับเครือข่าย ถ้ากำลังเลือกที่ตั้งเครื่อง ดู[ราคา Cloud Server ใน Region ไทยและสิงคโปร์](/cloud/cloud-server-price-2026-bangkok-aws-google-cloud-azure/) ประกอบ

ทีมไอทีควรเก็บขั้นตอนเหล่านี้เป็นรายการตรวจที่ทำทุกครั้งที่สร้าง Linux Cloud Server เครื่องใหม่ บันทึกว่าใครมี SSH key เข้าเครื่องไหน และถอน key ทันทีเมื่อพนักงานย้ายงานหรือลาออก ส่วนเครื่องรุ่นเก่ากว่า LTS ปัจจุบัน หน้า Security suggestions ของ Ubuntu แนะนำให้อัปเกรดหรือใช้ Ubuntu Pro ซึ่งฟรีสำหรับใช้งานส่วนตัวและธุรกิจไม่เกิน 5 เครื่อง อ่านเรื่องคลาวด์อื่นได้ที่[หมวดคลาวด์](/cloud/)

## คำถามที่พบบ่อย

### ทำไมต้องปิดการล็อกอินด้วยรหัสผ่านบน Linux Cloud Server?

เพราะ SSH key ยืนยันตัวตนด้วยกุญแจเข้ารหัสแทนรหัสผ่าน เมื่อตั้ง PasswordAuthentication no แล้ว ผู้ที่ไม่มี private key จะเดารหัสผ่านเข้า Linux Cloud Server ไม่ได้ ใช้คู่กับ ufw limit ที่ปฏิเสธ IP ซึ่งพยายามเชื่อมต่อ 6 ครั้งขึ้นไปใน 30 วินาทีเพื่อลดการเดารหัสผ่าน

### ปิด root login แล้วจะทำงานผู้ดูแลระบบอย่างไร?

ใช้ผู้ใช้ทั่วไปที่อยู่ในกลุ่ม sudo แทน Ubuntu ปิดบัญชี root เป็นค่าเริ่มต้นอยู่แล้วและให้ใช้ sudo ยกสิทธิ์ชั่วคราวด้วยรหัสผ่านของตัวเอง ซึ่งช่วยให้ตรวจย้อนได้ว่าใครทำอะไร สร้างได้ด้วย sudo adduser username แล้ว sudo adduser username sudo

### ตั้งค่า SSH หรือ ufw ผิดจนเข้าเครื่องไม่ได้ ต้องทำอย่างไร?

ถ้ายังเปิดหน้าต่าง SSH เดิมค้างไว้ ให้แก้จากหน้าต่างนั้นทันที เช่น คืนไฟล์ที่เพิ่มใน /etc/ssh/sshd_config.d/ หรือเพิ่มกฎ sudo ufw allow 22 ถ้าหลุดทั้งหมด ให้เข้าผ่าน console บนหน้าเว็บของผู้ให้บริการ หรือกู้จาก snapshot ที่ทำไว้ก่อนเริ่ม

### Ubuntu 26.04 LTS ติดตั้งอัปเดตความปลอดภัยเองหรือไม่?

ติดตั้งเอง เอกสาร Ubuntu ระบุว่า unattended-upgrades ติดตั้งมาเป็นค่าเริ่มต้นและทำงานวันละครั้ง รวม ESM ถ้ามี แต่จะไม่รีสตาร์ต Linux Cloud Server ให้เองเพราะ Automatic-Reboot มีค่าเริ่มต้นเป็น false ต้องเปิดเองหรือรีสตาร์ตตามรอบบำรุงรักษา

### ทำไมเวลาใน Ubuntu 26.04 ไม่ตรงทั้งที่เปิด chrony แล้ว?

ตั้งแต่ Ubuntu 25.10 ระบบใช้ chrony แบบ Network Time Security (NTS) เป็นค่าเริ่มต้น ซึ่งต้องออกพอร์ต 4460/tcp และ 123/udp ได้ ถ้า firewall ของเครือข่ายบล็อก chrony จะปรับนาฬิกาไม่ได้ แก้ได้ด้วยการเปิดพอร์ตขาออก หรือแก้ไฟล์ ubuntu-ntp-pools.sources กลับไปใช้ NTP ตามเอกสาร


## แหล่งอ้างอิง

- [Get Ubuntu Server](https://ubuntu.com/download/server) — Canonical
- [OpenSSH server](https://ubuntu.com/server/docs/how-to/security/openssh-server/) — Canonical (Ubuntu Server documentation)
- [Firewalls](https://ubuntu.com/server/docs/how-to/security/firewalls/) — Canonical (Ubuntu Server documentation)
- [Automatic updates](https://ubuntu.com/server/docs/how-to/software/automatic-updates/) — Canonical (Ubuntu Server documentation)
- [User management](https://ubuntu.com/server/docs/how-to/security/user-management/) — Canonical (Ubuntu Server documentation)
- [Synchronize time using chrony](https://ubuntu.com/server/docs/how-to/networking/chrony-client/) — Canonical (Ubuntu Server documentation)