Was in der ersten Stunde zu tun ist

Die Maschine ist bereitgestellt und ab der ersten Minute mit dem Internet verbunden. Eine halbe Stunde Einrichtung jetzt erspart Ihnen später die Suche nach einer Sicherheitslücke.

1. System aktualisieren

apt update && apt upgrade -y
reboot

Unter AlmaLinux und CentOS Stream verwenden Sie dnf upgrade -y. Ein Neustart ist erforderlich, wenn der Kernel aktualisiert wurde.

2. SSH-Schlüssel hinzufügen

Ein Passwort ist nur ein vorübergehender Weg zur Anmeldung. Erzeugen Sie einen Schlüssel auf Ihrer Seite und fügen Sie ihn im Tab „Zugriff“ im Unterabschnitt „SSH-Schlüssel“ hinzu: Die Liste wird vollständig ersetzt, reichen Sie also den kompletten Satz ein. Details finden Sie unter SSH-Schlüssel.

Das Speichern von Schlüsseln startet eine laufende Maschine neu: Sie werden beim Booten durch das initiale Setup angewendet. In der ersten Stunde kostet Sie das nichts, später bedeutet es Ausfallzeit — deshalb stehen Schlüssel an zweiter Stelle der Liste.

Unter Windows Server funktionieren SSH-Schlüssel überhaupt nicht: Dort melden Sie sich per RDP mit einem Passwort an, überspringen Sie diesen Schritt also und verwenden Sie stattdessen RDP-Schutz.

Stellen Sie sicher, dass die Anmeldung per Schlüssel funktioniert, und deaktivieren Sie erst dann das Passwort:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Schließen Sie Ihre aktuelle Sitzung erst, nachdem Sie die Anmeldung per Schlüssel aus einem neuen Fenster heraus überprüft haben. Sollten Sie sich aussperren, rettet Sie die Textkonsole im Panel.

3. Regulären Benutzer anlegen

Sie sollten nicht ständig als root arbeiten: Ein Tippfehler in rm kostet Sie die Maschine.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

Unter AlmaLinux heißt die Gruppe wheel, nicht sudo.

4. Firewall aktivieren

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Öffnen Sie Ports nach Bedarf: ufw allow 80/tcp, ufw allow 443/tcp. Lassen Sie alles andere geschlossen.

5. Uhrzeit und Rechnernamen prüfen

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Eine falsche Uhrzeit führt zu Problemen mit Zertifikaten, Logs und dem Scheduler.

6. Sicherstellen, dass der Gast-Agent läuft

Das Panel benötigt ihn, um den belegten Speicherplatz anzuzeigen und einen sanften Neustart durchzuführen:

systemctl status qemu-guest-agent

Falls der Dienst fehlt:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Eigene Backups einrichten

Es gibt keine automatischen Maschinen-Backups oder Snapshots — das liegt in Ihrer Verantwortung. Machen Sie es sich vom ersten Tag an zur Gewohnheit: Datenbank dumpen, Projektverzeichnisse archivieren und alles außer Haus schicken, statt es auf derselben Maschine zu belassen.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Eine Kopie können Sie mit scp oder rsync auf Ihre eigene Maschine ziehen.

Checkliste

• System aktualisiert
• SSH-Schlüssel hinzugefügt und überprüft
• Passwort-Anmeldung deaktiviert
• Benutzer mit sudo angelegt
• Firewall aktiviert, zusätzliche Ports geschlossen
• Zeitzone und Rechnername festgelegt
• Gast-Agent läuft
• Erstes Backup erstellt und außerhalb der Maschine gespeichert

Als Nächstes — Schnellstart: eine Website in 15 Minuten.