Rocky Linux 9 هو الخيار المجاني المتوافق مع RHEL: الحزم نفسها، وdnf نفسه، وfirewalld وSELinux أنفسهما. إذا سبق أن أعددت Debian أو Ubuntu، فترتيب الخطوات هو نفسه؛ الأدوات وحدها تختلف. إليك الدقائق العشر الأولى على خادم Rocky 9 جديد.
شغّلنا كل أمر أدناه على صورة Rocky Linux 9 لدينا قبل النشر. على خادم نظيف تستغرق السلسلة كلها بضع دقائق.
1. حدّث النظام
سجّل الدخول بصفتك root بكلمة المرور من لوحة التحكم، ثم حدّث:
dnf -y upgrade
على صورتنا استغرق ذلك ثواني في الاختبار، لأن الصورة كانت محدّثة أصلاً.
2. أنشئ مستخدم sudo وأضف مفتاح SSH
في Rocky تُسمّى مجموعة المسؤولين wheel لا sudo:
useradd -m -G wheel deploy
passwd deploy # sudo will ask for this password
ضع مفتاحك العام على الخادم (كيف تنشئ مفتاحاً). إذا نسخته إلى /root/key.pub:
install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh
يضع restorecon وسوم SELinux التي يتوقعها sshd. مع وسم خاطئ يفشل الدخول بالمفتاح دون رسالة خطأ واضحة.
افتح طرفية ثانية وتأكد أن ssh deploy@YOUR.SERVER.IP يعمل وأن sudo -v يقبل كلمة المرور. أبقِ جلسة root مفتوحة حتى ذلك الحين.
3. أوقف دخول root والدخول بكلمة المرور
هنا يختلف Rocky عن التعديل التقليدي لملف sshd_config. الإعدادات موجودة في ملفات منفصلة ضمن /etc/ssh/sshd_config.d/، ويأخذ sshd أول قيمة يجدها. في صورتنا أول ملف هو 00-eqvps.conf، وهو يسمح بدخول root وبكلمة المرور كي تتمكن من الدخول في اليوم الأول. عدّله هناك:
sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
-e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
/etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '
يعرض الأمر الأخير ما سيطبّقه sshd فعلاً. يجب أن ترى:
permitrootlogin no
passwordauthentication no
بعد ذلك يُرفض ssh root@… حتى مع المفتاح، ولا يدخل deploy إلا بالمفتاح.
4. الجدار الناري: firewalld
صورة السحابة لا تتضمن firewalld. ثبّته وشغّله واترك المفتوح ما يلزم فقط:
dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services
تفتح المنطقة الافتراضية cockpit (المنفذ 9090) وdhcpv6-client. Cockpit غير مثبّت، لكن لا سبب لترك منفذه مفتوحاً. عند إضافة تطبيق افتح منفذه بالطريقة نفسها، مثلاً firewall-cmd --permanent --add-service=https.
5. التحديثات الأمنية التلقائية
يحمّل dnf-automatic التحديثات وفق مؤقّت، لكنه افتراضياً لا يثبّتها، لذا فعّل التثبيت:
dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer
إذا أردت إصلاحات الأمان فقط، فاضبط أيضاً upgrade_type = security في الملف نفسه.
6. أبقِ SELinux مفعّلاً
على خادم جديد يعرض getenforce القيمة Enforcing، وكل ما سبق يعمل معه. حين يحتاج تطبيق إلى منفذ أو مجلد غير قياسي، فالحل وسم (semanage port، restorecon) لا setenforce 0.
أي خطة
يستهلك Rocky 9 نحو 400 MB من الذاكرة وهو خامل. تكفي خطة Nano (1 GB، $3 شهرياً) لخدمة صغيرة واحدة؛ وتترك Micro (2 GB، $5 شهرياً) مكاناً لقاعدة بيانات. في خطط NAT يدخل SSH عبر منفذ خاص يظهر في لوحة التحكم. إذا احتجت المنفذين 80/443 مفتوحين للجميع، فاختر خطة لها IPv4 خاص، مثل Micro-IP بسعر $10 شهرياً.
Rocky Linux 9 إحدى الصور في صفحة عائلة RHEL ومتاح في كل خطط VPS. الدفع بعملات USDT أو USDC أو ETH على شبكات Base أو Ethereum أو Polygon، دون وثائق هوية أو بطاقة. إذا فضّلت إدارة الخادم بالسكربتات، فإن توثيق الـ API يشرح الطلب وإعادة التثبيت والتجديد.
التعليقات
لا تعليقات بعد. كن الأول.