Việc cần làm trong giờ đầu tiên

Máy đã được cấp phát và kết nối internet ngay từ phút đầu tiên. Dành nửa tiếng để cấu hình ngay bây giờ sẽ giúp bạn tránh phải rà soát thiệt hại về sau.

1. Cập nhật hệ thống

apt update && apt upgrade -y
reboot

Trên AlmaLinux và CentOS Stream, dùng dnf upgrade -y. Cần khởi động lại nếu kernel được cập nhật.

2. Thêm khóa SSH

Mật khẩu chỉ là cách đăng nhập tạm thời. Hãy tạo khóa ở phía bạn và thêm vào tab “Access”, mục “SSH keys”: danh sách sẽ bị thay thế hoàn toàn, nên hãy gửi toàn bộ bộ khóa. Để biết chi tiết, xem Khóa SSH.

Lưu khóa sẽ khởi động lại máy đang chạy: khóa được áp dụng bởi quá trình cấu hình ban đầu lúc khởi động. Trong giờ đầu tiên thì không tốn gì, nhưng về sau sẽ gây gián đoạn — đó là lý do khóa là mục thứ hai trong danh sách.

Trên Windows Server, khóa SSH hoàn toàn không hoạt động: ở đó bạn đăng nhập qua RDP bằng mật khẩu, nên hãy bỏ qua bước này và dùng Bảo vệ RDP thay thế.

Hãy đảm bảo đăng nhập bằng khóa hoạt động, rồi mới tắt mật khẩu:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Đừng đóng phiên hiện tại cho đến khi bạn đã xác minh đăng nhập bằng khóa từ một cửa sổ mới. Nếu bạn tự khóa mình ra ngoài, bảng điều khiển văn bản trong bảng điều khiển sẽ cứu bạn.

3. Tạo người dùng thường

Bạn không nên làm việc với quyền root mọi lúc: một lỗi gõ trong rm sẽ khiến bạn mất cả máy.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

Trên AlmaLinux, nhóm này tên là wheel, không phải sudo.

4. Bật tường lửa

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Mở cổng khi cần: ufw allow 80/tcp, ufw allow 443/tcp. Giữ mọi thứ khác đóng.

5. Kiểm tra thời gian và tên máy

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Thời gian sai sẽ làm hỏng chứng chỉ, log và bộ lập lịch.

6. Đảm bảo guest agent đang chạy

Bảng điều khiển cần nó để hiển thị dung lượng đã dùng và thực hiện khởi động lại mềm:

systemctl status qemu-guest-agent

Nếu dịch vụ không tồn tại:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Thiết lập bản sao lưu của riêng bạn

Không có bản sao lưu hay snapshot máy tự động — đó là trách nhiệm của bạn. Hãy biến nó thành thói quen ngay từ ngày đầu: dump cơ sở dữ liệu, nén các thư mục dự án, và gửi mọi thứ ra ngoài thay vì để trên cùng một máy.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Bạn có thể kéo một bản sao về máy của mình bằng scp hoặc rsync.

Danh sách kiểm tra

• Hệ thống đã cập nhật
• Khóa SSH đã thêm và xác minh
• Đăng nhập bằng mật khẩu đã tắt
• Người dùng có quyền sudo đã tạo
• Tường lửa đã bật, các cổng phụ đã đóng
• Múi giờ và tên máy đã đặt
• Guest agent đang chạy
• Bản sao lưu đầu tiên đã tạo và lưu ngoài máy

Tiếp theo — bắt đầu nhanh: một website trong 15 phút.