Co zrobić w pierwszej godzinie

Maszyna jest gotowa i od pierwszej minuty wystawiona na internet. Pół godziny konfiguracji teraz oszczędzi ci późniejszego grzebania w skutkach włamania.

1. Zaktualizuj system

apt update && apt upgrade -y
reboot

W AlmaLinux i CentOS Stream użyj dnf upgrade -y. Jeśli zaktualizowano jądro, potrzebny jest restart.

2. Dodaj klucz SSH

Hasło to tymczasowy sposób logowania. Wygeneruj klucz po swojej stronie i dodaj go w zakładce „Dostęp”, w podsekcji „Klucze SSH”: lista jest zastępowana w całości, więc prześlij cały zestaw. Szczegóły znajdziesz w klucze SSH.

Zapisanie kluczy restartuje działającą maszynę: są stosowane przez wstępną konfigurację przy starcie. W pierwszej godzinie nic cię to nie kosztuje, później oznacza przestój — dlatego klucze są drugim punktem na liście.

W Windows Server klucze SSH w ogóle nie działają: logujesz się tam przez RDP z hasłem, więc pomiń ten krok i zamiast tego użyj ochrona RDP.

Upewnij się, że logowanie kluczem działa, i dopiero wtedy wyłącz hasło:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Nie zamykaj bieżącej sesji, dopóki nie sprawdzisz logowania kluczem w nowym oknie. Jeśli się zablokujesz, uratuje cię konsola tekstowa w panelu.

3. Utwórz zwykłego użytkownika

Nie powinieneś pracować cały czas jako root: jedna literówka w rm kosztuje cię maszynę.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

W AlmaLinux grupa nazywa się wheel, a nie sudo.

4. Włącz zaporę sieciową

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Otwórz porty w razie potrzeby: ufw allow 80/tcp, ufw allow 443/tcp. Wszystko inne zostaw zamknięte.

5. Sprawdź czas i nazwę maszyny

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Błędny czas psuje certyfikaty, logi i harmonogram zadań.

6. Upewnij się, że agent gościa działa

Panel potrzebuje go, aby pokazywać zajęte miejsce i wykonywać miękki restart:

systemctl status qemu-guest-agent

Jeśli usługi nie ma:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Skonfiguruj własne kopie zapasowe

Nie ma automatycznych kopii zapasowych ani snapshotów maszyny — to twoja odpowiedzialność. Zrób z tego nawyk od pierwszego dnia: zrzuć bazę danych, zarchiwizuj katalogi projektu i wyślij wszystko poza serwer, zamiast zostawiać to na tej samej maszynie.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Kopię możesz pobrać na własną maszynę przez scp lub rsync.

Lista kontrolna

• System zaktualizowany
• Klucz SSH dodany i sprawdzony
• Logowanie hasłem wyłączone
• Użytkownik z sudo utworzony
• Zapora włączona, dodatkowe porty zamknięte
• Strefa czasowa i nazwa maszyny ustawione
• Agent gościa działa
• Pierwsza kopia zapasowa zrobiona i zapisana poza maszyną

Dalej — szybki start: strona w 15 minut.