Yeni VPS-də ilk addımlar

Yeni VPS-də ilk addımlar bunlardır: daxil olun, sistemi yeniləyin, SSH açarı ilə sudo istifadəçisi yaradın, hostname və saat qurşağını təyin edin, kiçik planlarda swap əlavə edin və firewall-u aktiv edin. Bu, təxminən 15 dəqiqə çəkir və hücumçuların ilk sınadıqlarının çoxunu əhatə edir.

Aşağıdakı əmrlər Ubuntu 24.04 və Debian 12 üçündür. Bucaqlı mötərizələrdəki dəyərləri və 203.0.113.10 nümunə ünvanını özünüzünkü ilə əvəz edin.

1. İlk dəfə daxil olun

Server yaradarkən ya SSH açarı, ya da e-poçtla göndərilən root parolu seçirsiniz. Açarla:

ssh [email protected]        # nümunə ünvan

İlk bağlantı host açarının barmaq izini təsdiqləməyinizi istəyir. yes yazın. Parol istifadə etmisinizsə, o sizdən soruşulacaq; onu dərhal passwd ilə dəyişin.

Hələ açarınız yoxdursa, əvvəlcə SSH açarlarını necə yaratmaq və istifadə etmək bələdçisini oxuyun. Bu, iki dəqiqə çəkir və buna dəyər.

2. Hər şeyi yeniləyin

Yeni image-lər təzədir, lakin paketlər sürətlə yenilənir. Nəsə quraşdırmazdan əvvəl yeniləyin:

apt update
apt full-upgrade -y
apt autoremove -y

Nüvə yenilənibsə, yenidən başladın:

[ -f /var/run/reboot-required ] && reboot

Yarım dəqiqə gözləyin və yenidən daxil olun.

3. Avtomatik təhlükəsizlik yeniləmələrini aktiv edin

Ubuntu unattended-upgrades ilə gəlir; Debian-da onu quraşdırmaq lazım ola bilər:

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades   # "Yes" cavabını verin

Bu, təhlükəsizlik düzəlişlərini hər gün quraşdırır. Defolt olaraq yenidən başlatmır. Sakit saatda yenidən başlatmaya icazə vermək üçün /etc/apt/apt.conf.d/50unattended-upgrades faylını redaktə edin:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

4. sudo hüquqlu adi istifadəçi yaradın

adduser deploy                 # istənilən ad seçin
usermod -aG sudo deploy

Eyni açarla daxil ola bilmək üçün root-un icazəli açarlarını yeni istifadəçiyə köçürün:

mkdir -p /home/deploy/.ssh
cp /root/.ssh/authorized_keys /home/deploy/.ssh/
chown -R deploy:deploy /home/deploy/.ssh
chmod 700 /home/deploy/.ssh
chmod 600 /home/deploy/.ssh/authorized_keys

Davam etməzdən əvvəl ikinci terminal açın və yoxlayın:

ssh [email protected]
sudo whoami      # nəticə belə olmalıdır: root

Yeni giriş işləyənə qədər root sessiyasını açıq saxlayın.

5. Hostname və saat qurşağını təyin edin

sudo hostnamectl set-hostname web-1
sudo timedatectl set-timezone Europe/Berlin
timedatectl          # yoxlayın: "System clock synchronized: yes"

sudo hostname-i həll edə bilmədiyi barədə xəbərdarlıq edirsə, onu /etc/hosts faylına əlavə edin:

127.0.1.1   web-1

Bir çox administrator jurnalları müqayisə etməyi asanlaşdırmaq üçün serverləri UTC-də saxlayır. Hər ikisi uyğundur; sadəcə ardıcıl olun.

6. Kiçik serverlərdə swap əlavə edin

1 və ya 2 GB yaddaşlı planlar üçün swap faylı faydalıdır. Əvvəlcə yoxlayın:

swapon --show
free -h

Heç nə göstərilmirsə, 1 GB və ya 2 GB fayl yaradın:

sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

Nüvəyə yaddaşa üstünlük verməsini və swap-dan yalnız sıxlıq zamanı istifadə etməsini bildirin:

echo 'vm.swappiness=10' | sudo tee /etc/sysctl.d/99-swap.conf
sudo sysctl --system

7. Firewall-u aktiv edin

İki qatınız var və hər ikisindən istifadə edə bilərsiniz.

Serverdə: UFW

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Digər portları yalnız servisə lazım olanda açın, məsələn, veb server üçün sudo ufw allow 80,443/tcp.

Serverin qarşısında: bulud firewall-u

Wolkra firewall-u trafiki serverə çatmazdan əvvəl filtrləyir və etiketə görə eyni anda çoxlu serverə tətbiq oluna bilər. Pulsuzdur. Geniş yayılmış qurulum SSH-a yalnız ofis və ya ev ünvanınızdan, HTTP/HTTPS-ə isə hər yerdən icazə verir. Bax: firewall sənədləri.

8. SSH-ı gücləndirin

sudo istifadəçiniz üçün açarla giriş işlədikdən sonra parolları və root girişini söndürün. Əlavə konfiqurasiya faylı yaradın:

sudo tee /etc/ssh/sshd_config.d/10-hardening.conf >/dev/null <<'EOF'
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
EOF
sudo sshd -t && sudo systemctl reload ssh

sshd -t əvvəlcə sintaksisi yoxlayır, beləliklə hərf səhvi sizi kənarda qoymur. Gücləndirmə addımlarının tam dəsti Ubuntu serverini necə qorumaq bələdçisindədir.

9. Bir neçə faydalı alət quraşdırın

sudo apt install -y curl wget git htop ncdu unzip ca-certificates

• htop prosesləri və yaddaşı canlı göstərir.
• ncdu / diski nəyin doldurduğunu tapır.
• journalctl -p warning -b son açılışdan bəri xəbərdarlıqları göstərir.

10. E-poçt göndərirsinizsə və ya səliqəli ad lazımdırsa, reverse DNS təyin edin

Server poçt göndərirsə və ya hostname-ə geri həll olunmalıdırsa, konsolda onun IP-si üçün PTR qeydini təyin edin. Birbaşa DNS qeydinin (A və ya AAAA) eyni ünvana yönəldiyindən əmin olun. Bax: IP ünvanları.

11. Ehtiyat nüsxələri indi planlaşdırın

Yeni server ehtiyat nüsxələr barədə qərar vermək üçün ən yaxşı andır. Wolkra-da gündəlik avtomatik ehtiyat nüsxələri (server qiymətinin 20%-i, 7 bərpa nöqtəsi) aktiv edə və riskli dəyişikliklərdən əvvəl snapshot götürə bilərsiniz. Vacib məlumatlar üçün serverdən kənarda da nüsxə saxlayın. Ehtiyat nüsxə strategiyası bələdçisi 3-2-1 qaydasını praktikada izah edir.

12. Geri qayıtmaq yolunu bilin

Hər şey ola bilər: həddən artıq sərt firewall qaydası, SSH konfiqurasiyasında hərf səhvi. Bu baş verməzdən əvvəl bərpa alətlərinin harada olduğunu qeyd edin:

• server görünüşündəki brauzer (VNC) konsolu: şəbəkə girişi olmadan işləyir;
• rescue rejimi: diski mount edib faylları düzəltməyiniz üçün kiçik sistem açır;
• rebuild: server təmir olunmayacaq vəziyyətdədirsə, image-i yenidən quraşdırır.

Yoxlama siyahısı

• SSH açarı ilə daxil olunub
• Yenilənib və yenidən başladılıb
• Avtomatik təhlükəsizlik yeniləmələri aktivdir
• sudo istifadəçisi yaradılıb və yoxlanılıb
• Hostname və saat qurşağı təyin edilib
• Kiçik planlarda swap var
• UFW və/və ya bulud firewall-u aktivdir
• root girişi və parollar söndürülüb
• Lazımdırsa, reverse DNS təyin edilib
• Ehtiyat nüsxələr aktivdir

Sonra nəsə deploy edin: Docker Compose, WordPress və ya Caddy reverse proxy sınayın.