Rocky Linux 9 הוא הבחירה החינמית התואמת ל-RHEL: אותן חבילות, אותו dnf, אותם firewalld ו-SELinux. אם כבר הגדרתם Debian או Ubuntu, סדר הצעדים זהה; רק הכלים שונים. אלה עשר הדקות הראשונות בשרת Rocky 9 חדש.
הרצנו כל פקודה למטה על אימג' Rocky Linux 9 שלנו לפני הפרסום. בשרת נקי כל הרצף לוקח כמה דקות.
1. עדכנו את המערכת
התחברו כ-root עם הסיסמה מלוח הבקרה ועדכנו:
dnf -y upgrade
באימג' שלנו זה לקח בבדיקה שניות ספורות, כי האימג' כבר היה מעודכן.
2. צרו משתמש sudo והוסיפו את מפתח ה-SSH
ב-Rocky קבוצת המנהלים נקראת wheel, לא sudo:
useradd -m -G wheel deploy
passwd deploy # sudo will ask for this password
שימו את המפתח הציבורי שלכם על השרת (איך יוצרים מפתח). אם העתקתם אותו ל-/root/key.pub:
install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh
restorecon מציב את תוויות SELinux ש-sshd מצפה להן. עם תווית שגויה, כניסה במפתח נכשלת בלי הודעת שגיאה ברורה.
פתחו טרמינל שני ובדקו ש-ssh deploy@YOUR.SERVER.IP עובד ושה-sudo -v מקבל את הסיסמה. עד אז השאירו את סשן ה-root פתוח.
3. בטלו כניסת root וכניסה בסיסמה
כאן Rocky שונה מהעריכה הקלאסית של sshd_config. ההגדרות נמצאות בקבצים נפרדים תחת /etc/ssh/sshd_config.d/, ו-sshd לוקח את הערך הראשון שהוא מוצא. באימג' שלנו הקובץ הראשון הוא 00-eqvps.conf, שמתיר root וסיסמה כדי שתוכלו להיכנס ביום הראשון. שנו שם:
sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
-e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
/etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '
הפקודה האחרונה מציגה מה sshd אוכף בפועל. אתם צריכים לראות:
permitrootlogin no
passwordauthentication no
מעכשיו ssh root@… נדחה גם עם מפתח, ו-deploy נכנס רק עם מפתח.
4. חומת אש: firewalld
אימג' הענן לא כולל firewalld. התקינו, הפעילו והשאירו פתוח רק את מה שצריך:
dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services
אזור ברירת המחדל פותח את cockpit (פורט 9090) ואת dhcpv6-client. Cockpit לא מותקן, אבל אין סיבה להשאיר את הפורט שלו פתוח. כשמוסיפים אפליקציה, פותחים את הפורט שלה באותה דרך, למשל firewall-cmd --permanent --add-service=https.
5. עדכוני אבטחה אוטומטיים
dnf-automatic מוריד עדכונים לפי טיימר, אבל כברירת מחדל לא מתקין אותם, אז הפעילו את ההתקנה:
dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer
אם אתם רוצים רק תיקוני אבטחה, הגדירו באותו קובץ גם upgrade_type = security.
6. השאירו את SELinux פעיל
בשרת חדש getenforce מציג Enforcing, וכל מה שלמעלה עובד איתו. כשאפליקציה צריכה פורט או תיקייה לא סטנדרטיים, הפתרון הוא תווית (semanage port, restorecon), לא setenforce 0.
איזו תוכנית
Rocky 9 צורך במנוחה כ-400 MB זיכרון. תוכנית Nano (1 GB, $3 לחודש) מספיקה לשירות קטן אחד; Micro (2 GB, $5 לחודש) משאירה מקום למסד נתונים. בתוכניות NAT, SSH נכנס דרך פורט אישי שמוצג בלוח הבקרה. אם אתם צריכים את הפורטים 80/443 פתוחים לכולם, בחרו תוכנית עם IPv4 משלה, כמו Micro-IP ב-$10 לחודש.
Rocky Linux 9 הוא אחד האימג'ים בעמוד משפחת RHEL וזמין בכל תוכניות ה-VPS. התשלום ב-USDT, USDC או ETH ברשתות Base, Ethereum או Polygon, בלי תעודה מזהה ובלי כרטיס. אם אתם מעדיפים לנהל את השרת בסקריפטים, תיעוד ה-API מכסה הזמנה, התקנה מחדש וחידוש.
תגובות
אין עדיין תגובות. היו הראשונים.