Čo robiť v prvej hodine

Stroj je pripravený a od prvej minúty čelí internetu. Pol hodina nastavovania teraz ti ušetrí neskoršie prehrabávanie sa v následkoch prieniku.

1. Aktualizuj systém

apt update && apt upgrade -y
reboot

Na AlmaLinux a CentOS Stream použi dnf upgrade -y. Ak sa aktualizovalo jadro, je potrebný reštart.

2. Pridaj SSH kľúč

Heslo je len dočasný spôsob prihlásenia. Vygeneruj si kľúč na svojej strane a pridaj ho v karte „Prístup“, v podsekcii „SSH kľúče“: zoznam sa nahrádza celý, takže odošli celú sadu. Podrobnosti nájdeš v SSH kľúče.

Uloženie kľúčov reštartuje bežiaci stroj: aplikujú sa pri úvodnom nastavení počas štartu. V prvej hodine ťa to nič nestojí, neskôr to znamená výpadok — práve preto sú kľúče druhou položkou v zozname.

Na Windows Server SSH kľúče nefungujú vôbec: tam sa prihlasuje cez RDP heslom, takže tento krok vynechaj a použi namiesto toho ochranu RDP.

Najprv sa uisti, že prihlásenie kľúčom funguje, a až potom vypni heslo:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Nezatváraj aktuálnu reláciu, kým neoveríš prihlásenie kľúčom z nového okna. Ak sa zamkneš von, zachráni ťa textová konzola v paneli.

3. Vytvor bežného používateľa

Nemal by si stále pracovať ako root: jeden preklep v rm ťa stojí stroj.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

Na AlmaLinux sa skupina volá wheel, nie sudo.

4. Zapni firewall

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Otvorte porty podľa potreby: ufw allow 80/tcp, ufw allow 443/tcp. Všetko ostatné nechaj zatvorené.

5. Skontroluj čas a názov stroja

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Nesprávny čas rozbíja certifikáty, logy a plánovač.

6. Uisti sa, že beží guest agent

Panel ho potrebuje na zobrazenie využitého miesta a na vykonanie soft reštartu:

systemctl status qemu-guest-agent

Ak služba chýba:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Nastav si vlastné zálohy

Neexistujú žiadne automatické zálohy ani snapshoty stroja — to je na tebe. Urob si z toho zvyk od prvého dňa: vylož databázu, zazipuj adresáre projektu a všetko posielaj mimo stroja, nenechávaj to na tom istom stroji.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Kópiu si môžeš stiahnuť na svoj stroj pomocou scp alebo rsync.

Kontrolný zoznam

• Systém aktualizovaný
• SSH kľúč pridaný a overený
• Prihlásenie heslom vypnuté
• Používateľ so sudo vytvorený
• Firewall zapnutý, extra porty zatvorené
• Časové pásmo a názov stroja nastavené
• Guest agent beží
• Prvá záloha vytvorená a uložená mimo stroja

Ďalej — rýchly štart: webová stránka za 15 minút.