Configurer un VPS Rocky Linux : les premières étapes une fois root

Rocky Linux 9 est le choix gratuit compatible RHEL : mêmes paquets, même dnf, mêmes firewalld et SELinux. Si vous avez déjà configuré Debian ou Ubuntu, l'ordre des étapes est identique, seuls les outils changent. Voici les dix premières minutes sur un serveur Rocky 9 tout neuf.

Nous avons exécuté chaque commande ci-dessous sur notre image Rocky Linux 9 avant publication. Sur un serveur propre, toute la séquence prend quelques minutes.

1. Mettre le système à jour

Connectez-vous en root avec le mot de passe du tableau de bord, puis mettez à jour :

dnf -y upgrade

Sur notre image, cela a pris quelques secondes lors du test, car l'image était déjà à jour.

2. Créer un utilisateur sudo et ajouter votre clé SSH

Sous Rocky, le groupe des administrateurs est wheel, pas sudo :

useradd -m -G wheel deploy
passwd deploy                      # sudo will ask for this password

Placez votre clé publique sur le serveur (comment en créer une). Si vous l'avez copiée dans /root/key.pub :

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh

restorecon pose les étiquettes SELinux qu'attend sshd. Avec une mauvaise étiquette, la connexion par clé échoue sans message d'erreur clair.

Ouvrez un second terminal et vérifiez que ssh deploy@YOUR.SERVER.IP fonctionne et que sudo -v accepte le mot de passe. Gardez la session root ouverte jusque-là.

3. Couper la connexion root et par mot de passe

C'est là que Rocky diffère de la modification classique de sshd_config. Les réglages se trouvent dans des fichiers sous /etc/ssh/sshd_config.d/, et sshd prend la première valeur trouvée. Sur notre image, le premier fichier est 00-eqvps.conf, qui autorise root et le mot de passe pour que vous puissiez entrer le premier jour. Modifiez-le là :

sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
       -e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
       /etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '

La dernière commande affiche ce que sshd appliquera réellement. Vous devez voir :

permitrootlogin no
passwordauthentication no

Désormais, ssh root@… est refusé même avec une clé, et deploy se connecte uniquement par clé.

4. Pare-feu : firewalld

L'image cloud ne contient pas firewalld. Installez-le, démarrez-le et ne gardez que le nécessaire :

dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services

La zone par défaut ouvre cockpit (port 9090) et dhcpv6-client. Cockpit n'est pas installé, mais rien ne justifie de laisser son port ouvert. Quand vous ajoutez une application, ouvrez son port de la même façon, par exemple firewall-cmd --permanent --add-service=https.

5. Mises à jour de sécurité automatiques

dnf-automatic télécharge les mises à jour selon un minuteur. Par défaut, il ne les installe pas : activez l'installation.

dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Si vous ne voulez que les correctifs de sécurité, ajoutez aussi upgrade_type = security dans le même fichier.

6. Laisser SELinux activé

getenforce affiche Enforcing sur un serveur neuf, et tout ce qui précède fonctionne avec. Quand une application a besoin d'un port ou d'un répertoire non standard, la solution est une étiquette (semanage port, restorecon), pas setenforce 0.

Quelle offre

Rocky 9 utilise environ 400 Mo de RAM au repos. L'offre Nano (1 Go, $3/mois) suffit pour un petit service ; Micro (2 Go, $5/mois) laisse de la place pour une base de données. Sur les offres NAT, SSH arrive par un port personnel affiché dans le tableau de bord. Si vous avez besoin des ports 80/443 ouverts à tous, prenez une offre avec sa propre IPv4, comme Micro-IP à $10/mois.

Rocky Linux 9 fait partie des images de la page de la famille RHEL et de toutes les offres VPS. Le paiement se fait en USDT, USDC ou ETH sur Base, Ethereum ou Polygon, sans pièce d'identité ni carte. Si vous préférez piloter le serveur par script, la documentation de l'API couvre commande, réinstallation et renouvellement.