Новый VPS
Сервер только создан и требует безопасной начальной настройки перед размещением приложений.
Linux
инфраструктура.
Настройка серверов на Ubuntu и Debian: доступ, сеть, DNS, резервное копирование, мониторинг и системный hardening.
Обсудить сервер_
OS_
Ubuntu / Debian
Access_
SSH / VPN
Network_
NFTables / UFW
Automation_
Ansible
Security_
Hardened
01 // Задача
Когда нужна настройка_
Сервер должен быть не просто доступен по SSH, а предсказуемо работать, обновляться и восстанавливаться.
Неконтролируемый доступ
Используется root, парольная аутентификация, открытые порты и общие учетные записи.
Нет мониторинга
О недоступности сайта, переполнении диска или нехватке памяти становится известно от пользователей.
Нет восстановления
Резервные копии не создаются, не проверяются или хранятся на том же сервере.
02 // Состав работ
Инфраструктурные модули_
Состав работ зависит от назначения сервера: веб-приложение, VPN, DNS, почта, Docker или узел Kubernetes.
Базовая настройка
Подготовка чистого Linux-сервера к безопасной эксплуатации.
- + Пользователи и sudo
- + Обновления системы
- + Timezone и NTP
SSH Hardening
Защита административного доступа и снижение риска компрометации сервера.
- + Авторизация по ключам
- + Запрет root login
- + Ограничение сессий
Firewall и сеть
Разрешаются только необходимые соединения, остальные блокируются по умолчанию.
- + UFW или nftables
- + Default deny
- + Ограничение сервисов
VPN и закрытый доступ
Защищенный доступ к внутренним сервисам, панелям управления и инфраструктуре.
- + WireGuard
- + Site-to-site VPN
- + Policy routing
DNS и домены
Настройка авторитативных DNS-серверов, зон и защиты целостности записей.
- + BIND9
- + Primary и secondary
- + DNSSEC
Почтовая инфраструктура
Настройка собственного SMTP и прием почты с корректной доменной аутентификацией.
- + Postfix и Dovecot
- + SPF / DKIM / DMARC
- + TLS и SMTP Auth
Мониторинг
Контроль доступности, ресурсов, системных сервисов и состояния дисков.
- + Prometheus / Grafana
- + Uptime monitoring
- + Alerting
Логи и аудит
Централизованный сбор событий и контроль административных действий.
- + Journald и logrotate
- + Auditd
- + Loki / Wazuh
Резервное копирование
Автоматическое сохранение данных с хранением копий вне основного сервера.
- + Restic / rsync / rclone
- + Шифрование копий
- + Проверка восстановления
03 // Linux Hardening
Системное усиление_
Настройки безопасности подбираются под назначение сервера, а не копируются из универсального чек-листа.
Аудит инфраструктуры
01
SSH Policy
Ключи, запрет root, ограничение попыток и сессий.
02
Firewall
Минимальный набор разрешенных сетевых сервисов.
03
Kernel Hardening
Защитные параметры sysctl и ограничение отладочных интерфейсов.
04
Service Reduction
Отключение ненужных служб и удаление лишних пакетов.
05
Brute-force Protection
Fail2Ban или CrowdSec для блокировки подозрительной активности.
06
Audit Trail
Журналирование входов, sudo и критичных изменений.
07
Patch Management
Контролируемые обновления и проверка перезапуска сервисов.
08
File Permissions
Проверка владельцев, прав и доступа к конфигурациям.
04 // Platform Readiness
Подготовка под платформу_
Сервер может быть подготовлен как отдельный узел или как часть контейнерной инфраструктуры.
05 // Baseline
Базовый профиль_
Пример параметров сервера после базовой настройки административного доступа.
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
MaxSessions 2
AllowTcpForwarding no
X11Forwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
LogLevel VERBOSE
AuthenticationMethods publickey
06 // Этапы
Как проходит работа_
01 / 05
Сбор требований
Определяется назначение сервера, сервисы, домены, пользователи и схема доступа.
02 / 05
Аудит
Проверяются ОС, открытые порты, учетные записи, установленные пакеты и текущие настройки.
03 / 05
Настройка
Настраиваются доступ, firewall, системные службы и необходимые приложения.
04 / 05
Проверка
Проверяется доступность сервисов, правила сети, логи и автоматический запуск.
05 / 05
Передача
Передаются конфигурации, схема доступа, инструкции по эксплуатации и восстановлению.
До_
Сервер без контроля
- Root-доступ и парольная авторизация
- Неизвестный набор открытых портов
- Нет мониторинга ресурсов
- Резервные копии не проверяются
- Изменения выполняются вручную
После_
Управляемая система
- Доступ по ключам с минимальными правами
- Контролируемый сетевой периметр
- Метрики, логи и уведомления
- Резервные копии вне сервера
- Документированная конфигурация
07 // FAQ
Частые вопросы_
Какую операционную систему выбрать?
Для большинства серверных задач подходят актуальные LTS-версии
Ubuntu или стабильные версии Debian. Выбор зависит от требований
приложений и привычного процесса сопровождения.
Нужно ли менять стандартный порт SSH?
Изменение порта уменьшает количество автоматического шума,
но не является полноценной защитой. Важнее отключить парольный вход,
запретить root login и ограничить сетевой доступ.
Защитит ли Fail2Ban от DDoS?
Нет. Fail2Ban помогает блокировать повторяющиеся попытки входа
и некоторые типы злоупотреблений, но объемные сетевые атаки
должны фильтроваться на стороне хостинг-провайдера или Anti-DDoS-сервиса.
Где должны храниться резервные копии?
Как минимум одна копия должна храниться вне основного сервера.
Доступ к хранилищу ограничивается, данные шифруются,
а восстановление периодически проверяется.
Можно ли автоматизировать настройку?
Да. Повторяемые настройки можно оформить в Ansible-роли:
SSH, firewall, sysctl, auditd, Docker, DNS и мониторинг.
Что будет передано после завершения?
Конфигурации, список сервисов и портов,
схема доступа, инструкции по обновлению,
резервному копированию и восстановлению.
Настроить сервер_
Опишите сервер, операционную систему, размещенные сервисы и требуемый результат.