Πώς να στήσετε ένα VPS με Rocky Linux: τα πρώτα βήματα μόλις πάρετε root

Το Rocky Linux 9 είναι η δωρεάν επιλογή συμβατή με RHEL: ίδια πακέτα, ίδιο dnf, ίδια firewalld και SELinux. Αν έχετε ήδη στήσει Debian ή Ubuntu, η σειρά των βημάτων είναι ίδια· διαφέρουν τα εργαλεία. Ακολουθούν τα πρώτα δέκα λεπτά σε έναν νέο server με Rocky 9.

Εκτελέσαμε κάθε εντολή παρακάτω στην εικόνα μας Rocky Linux 9 πριν από τη δημοσίευση. Σε καθαρό server όλη η διαδικασία παίρνει λίγα λεπτά.

1. Ενημερώστε το σύστημα

Συνδεθείτε ως root με τον κωδικό από τον πίνακα ελέγχου και ενημερώστε:

dnf -y upgrade

Στην εικόνα μας αυτό πήρε δευτερόλεπτα στη δοκιμή, γιατί η εικόνα ήταν ήδη ενημερωμένη.

2. Δημιουργήστε χρήστη sudo και προσθέστε το κλειδί SSH σας

Στο Rocky η ομάδα διαχειριστών λέγεται wheel, όχι sudo:

useradd -m -G wheel deploy
passwd deploy                      # sudo will ask for this password

Βάλτε το δημόσιο κλειδί σας στον server (πώς να φτιάξετε ένα). Αν το αντιγράψατε στο /root/key.pub:

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh

Το restorecon ορίζει τις ετικέτες SELinux που περιμένει το sshd. Με λάθος ετικέτα η σύνδεση με κλειδί αποτυγχάνει χωρίς σαφές σφάλμα.

Ανοίξτε δεύτερο τερματικό και ελέγξτε ότι το ssh deploy@YOUR.SERVER.IP λειτουργεί και ότι το sudo -v δέχεται τον κωδικό. Κρατήστε ανοιχτή τη συνεδρία root μέχρι τότε.

3. Απενεργοποιήστε τη σύνδεση root και με κωδικό

Εδώ το Rocky διαφέρει από την κλασική αλλαγή στο sshd_config. Οι ρυθμίσεις βρίσκονται σε ξεχωριστά αρχεία στο /etc/ssh/sshd_config.d/, και το sshd χρησιμοποιεί την πρώτη τιμή που βρίσκει. Στην εικόνα μας το πρώτο αρχείο είναι το 00-eqvps.conf, που επιτρέπει root και κωδικό για να μπορείτε να μπείτε την πρώτη μέρα. Αλλάξτε το εκεί:

sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
       -e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
       /etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '

Η τελευταία εντολή δείχνει τι πραγματικά εφαρμόζει το sshd. Πρέπει να δείτε:

permitrootlogin no
passwordauthentication no

Από εδώ και πέρα το ssh root@… απορρίπτεται ακόμη και με κλειδί, και ο deploy μπαίνει μόνο με κλειδί.

4. Τείχος προστασίας: firewalld

Η εικόνα cloud δεν περιέχει firewalld. Εγκαταστήστε το, ξεκινήστε το και αφήστε ανοιχτό μόνο ό,τι χρειάζεται:

dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services

Η προεπιλεγμένη ζώνη ανοίγει cockpit (θύρα 9090) και dhcpv6-client. Το Cockpit δεν είναι εγκατεστημένο, αλλά δεν υπάρχει λόγος να μείνει ανοιχτή η θύρα του. Όταν προσθέσετε μια εφαρμογή, ανοίξτε τη θύρα της με τον ίδιο τρόπο, για παράδειγμα firewall-cmd --permanent --add-service=https.

5. Αυτόματες ενημερώσεις ασφαλείας

Το dnf-automatic κατεβάζει ενημερώσεις με χρονοδιακόπτη. Από προεπιλογή δεν τις εγκαθιστά, οπότε ενεργοποιήστε την εγκατάσταση:

dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Αν θέλετε μόνο διορθώσεις ασφαλείας, ορίστε επίσης upgrade_type = security στο ίδιο αρχείο.

6. Αφήστε το SELinux ενεργό

Σε νέο server το getenforce εμφανίζει Enforcing, και όλα τα παραπάνω δουλεύουν μαζί του. Όταν μια εφαρμογή χρειάζεται μη τυπική θύρα ή φάκελο, η λύση είναι μια ετικέτα (semanage port, restorecon), όχι το setenforce 0.

Ποιο πρόγραμμα

Το Rocky 9 χρησιμοποιεί σε αδράνεια περίπου 400 MB RAM. Το πρόγραμμα Nano (1 GB, $3/μήνα) αρκεί για μια μικρή υπηρεσία· το Micro (2 GB, $5/μήνα) αφήνει χώρο για βάση δεδομένων. Στα προγράμματα NAT το SSH έρχεται μέσω προσωπικής θύρας που φαίνεται στον πίνακα ελέγχου. Αν χρειάζεστε τις θύρες 80/443 ανοιχτές για όλους, επιλέξτε πρόγραμμα με δικό του IPv4, όπως το Micro-IP με $10/μήνα.

Το Rocky Linux 9 είναι μία από τις εικόνες στη σελίδα της οικογένειας RHEL και διατίθεται σε όλα τα προγράμματα VPS. Η πληρωμή γίνεται σε USDT, USDC ή ETH στα δίκτυα Base, Ethereum ή Polygon, χωρίς ταυτότητα ή κάρτα. Αν προτιμάτε να ελέγχετε τον server με scripts, η τεκμηρίωση του API καλύπτει παραγγελία, επανεγκατάσταση και ανανέωση.