İlk saatte ne yapmalısın

Makine ilk dakikadan itibaren internete açık şekilde hazırlanıyor. Şimdi yarım saatlik bir kurulum, sonradan bir ihlalle uğraşmanı engeller.

1. Sistemi güncelle

apt update && apt upgrade -y
reboot

AlmaLinux ve CentOS Stream'de dnf upgrade -y kullan. Çekirdek güncellendiyse yeniden başlatma gerekir.

2. Bir SSH anahtarı ekle

Şifre, giriş yapmanın geçici bir yoludur. Kendi tarafında bir anahtar oluştur ve "Erişim" sekmesindeki "SSH anahtarları" alt bölümüne ekle: liste tamamen değiştirilir, bu yüzden tamamını gönder. Ayrıntılar için SSH anahtarları sayfasına bak.

Anahtarları kaydetmek, çalışan bir makineyi yeniden başlatır: açılışta ilk kurulum tarafından uygulanırlar. İlk saatte bu sana hiçbir şeye mal olmaz, sonrasında ise kesinti demektir — bu yüzden anahtarlar listenin ikinci maddesidir.

Windows Server'da SSH anahtarları hiç çalışmaz: orada RDP üzerinden şifreyle giriş yaparsın, bu yüzden bu adımı atla ve bunun yerine RDP koruması kullan.

Anahtar tabanlı girişin çalıştığından emin ol, ancak ondan sonra şifreyi devre dışı bırak:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Yeni bir pencereden anahtar girişini doğrulayana kadar mevcut oturumunu kapatma. Kendini dışarıda bırakırsan, paneldeki metin konsolu seni kurtarır.

3. Normal bir kullanıcı oluştur

Sürekli root olarak çalışmamalısın: rm komutundaki tek bir yazım hatası sana makineye mal olur.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

AlmaLinux'da grubun adı sudo değil wheel'dir.

4. Güvenlik duvarını etkinleştir

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Gerektiği kadar port aç: ufw allow 80/tcp, ufw allow 443/tcp. Geri kalan her şeyi kapalı bırak.

5. Saati ve makine adını kontrol et

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Yanlış saat sertifikaları, günlükleri ve zamanlayıcıyı bozar.

6. Konuk aracının çalıştığından emin ol

Panelin kullanılan alanı göstermesi ve yumuşak yeniden başlatma yapabilmesi için buna ihtiyacı var:

systemctl status qemu-guest-agent

Servis yoksa:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Kendi yedeklerini kur

Otomatik makine yedekleri veya anlık görüntüler yok — bu senin sorumluluğunda. İlk günden itibaren alışkanlık haline getir: veritabanını dök, proje dizinlerini arşivle ve her şeyi aynı makinede bırakmak yerine başka bir yere gönder.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Bir kopyayı scp veya rsync ile kendi makinene çekebilirsin.

Kontrol listesi

• Sistem güncellendi
• SSH anahtarı eklendi ve doğrulandı
• Şifreyle giriş devre dışı bırakıldı
• sudo yetkili kullanıcı oluşturuldu
• Güvenlik duvarı etkinleştirildi, fazladan portlar kapatıldı
• Saat dilimi ve makine adı ayarlandı
• Konuk aracı çalışıyor
• İlk yedek alındı ve makine dışında saklandı

Sırada — hızlı başlangıç: 15 dakikada bir web sitesi.