Qué hacer en la primera hora

La máquina se aprovisiona y queda expuesta a internet desde el primer minuto. Media hora de configuración ahora te ahorra tener que rebuscar en una brecha más adelante.

1. Actualiza el sistema

apt update && apt upgrade -y
reboot

En AlmaLinux y CentOS Stream, usa dnf upgrade -y. Si se actualizó el kernel, hace falta reiniciar.

2. Añade una clave SSH

Una contraseña es una forma temporal de iniciar sesión. Genera una clave por tu parte y añádela en la pestaña «Acceso», en la subsección «Claves SSH»: la lista se reemplaza por completo, así que envía el conjunto completo. Para más detalles, consulta Claves SSH.

Guardar las claves reinicia una máquina en marcha: se aplican en la configuración inicial durante el arranque. En la primera hora no te cuesta nada, más adelante significa tiempo de inactividad, y por eso las claves son el segundo punto de la lista.

En Windows Server, las claves SSH no funcionan en absoluto: ahí inicias sesión por RDP con una contraseña, así que sáltate este paso y usa mejor Protección de RDP.

Comprueba que el inicio de sesión con clave funciona y solo entonces desactiva la contraseña:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

No cierres tu sesión actual hasta que hayas verificado el inicio de sesión con clave desde una ventana nueva. Si te quedas fuera, la consola de texto del panel te salvará.

3. Crea un usuario normal

No deberías trabajar como root todo el tiempo: un error tipográfico en rm te cuesta la máquina.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

En AlmaLinux el grupo se llama wheel, no sudo.

4. Activa el firewall

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Abre los puertos según los necesites: ufw allow 80/tcp, ufw allow 443/tcp. Deja todo lo demás cerrado.

5. Comprueba la hora y el nombre de la máquina

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Una hora incorrecta rompe los certificados, los registros y el programador de tareas.

6. Asegúrate de que el agente invitado está en ejecución

El panel lo necesita para mostrar el espacio usado y para hacer un reinicio suave:

systemctl status qemu-guest-agent

Si falta el servicio:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Configura tus propias copias de seguridad

No hay copias de seguridad ni instantáneas automáticas de la máquina: eso es responsabilidad tuya. Conviértelo en un hábito desde el primer día: vuelca la base de datos, archiva los directorios del proyecto y envía todo fuera del servidor en lugar de dejarlo en la misma máquina.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Puedes traer una copia a tu propia máquina con scp o rsync.

Lista de comprobación

• Sistema actualizado
• Clave SSH añadida y verificada
• Inicio de sesión con contraseña desactivado
• Usuario con sudo creado
• Firewall activado, puertos adicionales cerrados
• Zona horaria y nombre de la máquina configurados
• Agente invitado en ejecución
• Primera copia de seguridad hecha y guardada fuera de la máquina

A continuación: inicio rápido: un sitio web en 15 minutos.