自分が外部公開にしてる個人用VPN鯖だと
(IPアドレスとかはどこにも出してない。完全に自分が使うだけ用)
rootのログインシェルはnologin
securettyファイルの中身全削除
ファイル自体消すと「脆弱だな〜」になります。
GUI環境付きなので
PAM認証も書き換えてあります。
SSHのrootログインは無効化
あとは
物理コンソールや一般ユーザーで繋いだときに
suでのroot昇格を防ぐために
実行できるユーザーアカウントを制限したり
sudoコマンドも設定ファイルで制限かけてます。
まあ、多分これでも脆弱だと思うので
Macアドレスフィルターとかや
ファイアウォール鯖の設置とか
した方が安全だと思います。