ConoHa VPSでUbuntu 24.04を立てたら、SSH公開鍵認証・ポート変更・UFWの3点を最優先で設定。初期状態はブルートフォース攻撃の標的です。
VPSを契約したけど初期設定が不安。この記事ではConoHa VPSにUbuntu 24.04を入れ、Ollama用のセキュリティ設定を一通り解説します。
OllamaをVPSで動かすにはどのプランを選ぶべき？
7〜8BクラスのモデルはOllamaの公式ライブラリで約5GB（llama3.1:8bは4.9GB）です。OSやOpen WebUIの分の余裕を見て、12GBプランが目安です。ConoHa VPSは時間課金で試せるため、12GBプランから始めるのがおすすめです。
| メモリ | CPU | 月額（まとめトク36ヶ月） | Ollama適性 |
|---|---|---|---|
| 12GB | 6コア | 2,553円（更新時3,192円） | 推奨：7Bモデル入門 |
| 24GB | 8コア | 5,249円（更新時7,191円） | 13Bモデル対応 |
| 48GB | 12コア | 13,313円（更新時18,491円） | 複数モデル並列 |
料金はConoHa VPS公式の料金ページで確認した2026年10月3日時点の値です。初回料金は2026年10月29日までのキャンペーン価格で、申し込み時だけ適用されます（更新時は右の金額）。
サーバー作成から公開鍵認証までの手順は？
コントロールパネルでUbuntu 24.04を選択しサーバーを作成。IPアドレスを確認したら以下の順で進めます。
ssh root@IPアドレス でログインし sudo apt update && sudo apt upgrade -y を実行します。
adduser ユーザー名 と usermod -aG sudo ユーザー名 でsudo権限付きユーザーを作成。手元で ssh-keygen -t rsa -b 4096 → ssh-copy-id ユーザー名@IPアドレス で公開鍵を転送します。必ず別ターミナルで接続テストしてから次へ進んでください。
【Ubuntu 24.04の罠】SSHポート変更が反映されない原因は？
Ubuntu 24.04ではSSHをsystemdのソケット（ssh.socket）が待ち受けます。今のopenssh-server（1:9.6p1-3ubuntu13.19）には、sshd_configのPortをソケットの設定へ写す仕組み（sshd-socket-generator）があり、daemon-reloadのときに反映されます。sshだけを再起動してもソケットの待ち受けは変わらないので、下のようにssh.socketへ直接書いて再起動する方法が確実です。
sshd_config で PermitRootLogin no に変更。ポートは以下の/etc/systemd/system/ssh.socket.d/override.confで設定します。変える前に、ConoHa側のセキュリティグループで新しいポート（50022/TCP）を許可しておきます（許可の前に変えると接続できなくなります）。
[Socket]
ListenStream=
ListenStream=50022保存後 sudo systemctl daemon-reload && sudo systemctl restart ssh.socket で反映します。今の接続は閉じずに、別のターミナルから ssh -p 50022 ユーザー名@IPアドレス で入れること、22番では入れないことを確かめてから次へ進みます。
cloud-initの設定（ssh_pwauth）によっては、/etc/ssh/sshd_config.d/50-cloud-init.confにPasswordAuthentication yesが書かれます。sshdは同じ項目を最初に読んだ値で決め、sshd_config.dの中は名前の辞書順に読みます（sshd_configの公式のman）。99-hardening.confでは50の値に負けるので、01-hardening.confのように50より前に並ぶ名前で次の内容を書きます。
PasswordAuthentication no
PubkeyAuthentication yes
PermitRootLogin nosudo sshd -t で構文チェック後、sudo systemctl restart ssh で適用します。効いているかは sudo sshd -T | grep -i passwordauthentication で確かめます（-Tは実際に効く設定を出します）。手元から ssh -o PubkeyAuthentication=no -p 50022 ユーザー名@IPアドレス を試し、パスワードを聞かれずに拒否されることも確かめられます。
ファイアウォール（UFW）とConoHaのセキュリティグループの設定は？
sudo ufw allow 50022/tcp（SSH）だけを許可し sudo ufw enable で有効化します。OllamaのAPI（11434）は開けません。Ollamaの公式ドキュメントによると、ローカルのAPIは認証を必要としないので、開けるとそのポートに届く誰でも使えます。外から使うときはSSHのトンネルを通します（手順はVPSにOllamaを入れる記事）。ConoHa側のセキュリティグループも、SSHのポート（50022/TCP）だけを許可します。Dockerで公開したポートはufwの設定を通らない（Dockerの公式ドキュメント）ので、ConoHa側でも絞っておくと二重に守れます。
まとめ
ユーザー作成・公開鍵認証・ポート変更・UFWの4点で、基本の守りを固めたUbuntu 24.04サーバーができます。次はOllamaをインストールしてLLMを動かしましょう。
コメント