Що робити в першу годину

Машина налаштована й доступна з інтернету з першої хвилини. Пів години налаштування зараз убережуть вас від розбору наслідків зламу потім.

1. Оновіть систему

apt update && apt upgrade -y
reboot

На AlmaLinux і CentOS Stream використовуйте dnf upgrade -y. Якщо оновилося ядро, потрібне перезавантаження.

2. Додайте SSH-ключ

Пароль — це тимчасовий спосіб входу. Згенеруйте ключ на своєму боці й додайте його на вкладці «Доступ», у підрозділі «SSH-ключі»: список замінюється повністю, тож надсилайте одразу весь набір. Докладніше дивіться в SSH-ключах.

Збереження ключів перезавантажує працюючу машину: їх застосовує початкове налаштування під час завантаження. У першу годину це нічого вам не коштує, пізніше означає простій — саме тому ключі стоять другим пунктом у списку.

На Windows Server SSH-ключі не працюють узагалі: там ви входите через RDP з паролем, тож пропустіть цей крок і скористайтеся захистом RDP.

Переконайтеся, що вхід за ключем працює, і лише потім вимикайте пароль:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Не закривайте поточну сесію, доки не перевірите вхід за ключем з нового вікна. Якщо ви заблокуєте собі доступ, вас урятує текстова консоль у панелі.

3. Створіть звичайного користувача

Не варто працювати під root постійно: одна друкарська помилка в rm коштує вам машини.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

На AlmaLinux група називається wheel, а не sudo.

4. Увімкніть фаєрвол

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Відкривайте порти за потребою: ufw allow 80/tcp, ufw allow 443/tcp. Усе інше залишайте закритим.

5. Перевірте час і ім'я машини

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Неправильний час ламає сертифікати, логи й планувальник.

6. Переконайтеся, що гостьовий агент працює

Він потрібен панелі, щоб показувати зайняте місце й виконувати м'яке перезавантаження:

systemctl status qemu-guest-agent

Якщо служби немає:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Налаштуйте власні резервні копії

Автоматичних резервних копій чи знімків машини немає — це ваша відповідальність. Зробіть це звичкою з першого дня: робіть дамп бази даних, архівуйте каталоги проєкту й надсилайте все за межі машини, а не залишайте на ній самій.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Копію можна стягнути на власну машину через scp або rsync.

Чекліст

• Систему оновлено
• SSH-ключ додано й перевірено
• Вхід за паролем вимкнено
• Користувача із sudo створено
• Фаєрвол увімкнено, зайві порти закрито
• Часовий пояс та ім'я машини задано
• Гостьовий агент працює
• Першу резервну копію зроблено й збережено поза машиною

Далі — швидкий старт: сайт за 15 хвилин.