Ma figurati, fino a quando non crollo per il sonno rispondo
Arch la configuri come vuoi.
Se installi la base hai solo l'essenziale.
Quindi niente che non sia realmente necessari al sistema per fare le sue cose.
Poi con apache apri la porta 80 per http, ma nella guida ho scritto come forzare https, quindi più sicuro.
SSH ascolta sulla porta 22, ma si può cambiare molto facilmente con una più alta e meno facilmente rintracciabile.
In ogni caso caso ho settato SSH con il socket e non con il demone, quindi si apre se e solo se arriva una connessione valida.
Qualche piccola accortezza per renderla un po' più sicura.
Poi, considera anche che io non sono un genio del pc, per cui amagari qualche buco resta.
Ho cercato di mettere insieme varie guide proprio per ridurre il rischio al minimo, ma azzerarlo è praticamente impossibile