Cara menyiapkan VPS Rocky Linux: langkah pertama setelah mendapat akses root

Rocky Linux 9 adalah pilihan gratis yang kompatibel dengan RHEL: paket yang sama, dnf yang sama, firewalld dan SELinux yang sama. Jika Anda pernah menyiapkan Debian atau Ubuntu, urutan langkahnya sama; alatnya yang berbeda. Berikut sepuluh menit pertama di server Rocky 9 yang baru.

Kami menjalankan setiap perintah di bawah ini pada image Rocky Linux 9 kami sebelum menerbitkannya. Di server yang bersih, seluruh urutan ini memakan beberapa menit.

1. Perbarui sistem

Masuk sebagai root dengan kata sandi dari dasbor, lalu perbarui:

dnf -y upgrade

Di image kami proses ini hanya beberapa detik saat diuji, karena image-nya sudah mutakhir.

2. Buat pengguna sudo dan tambahkan kunci SSH Anda

Di Rocky, grup administrator bernama wheel, bukan sudo:

useradd -m -G wheel deploy
passwd deploy                      # sudo will ask for this password

Letakkan kunci publik Anda di server (cara membuatnya). Jika Anda menyalinnya ke /root/key.pub:

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh

restorecon memasang label SELinux yang diharapkan sshd. Dengan label yang salah, login dengan kunci gagal tanpa pesan galat yang jelas.

Buka terminal kedua dan pastikan ssh deploy@YOUR.SERVER.IP berhasil dan sudo -v menerima kata sandi. Biarkan sesi root tetap terbuka sampai saat itu.

3. Matikan login root dan login kata sandi

Di sinilah Rocky berbeda dari cara klasik mengedit sshd_config. Pengaturan disimpan di file terpisah di /etc/ssh/sshd_config.d/, dan sshd memakai nilai pertama yang ditemukannya. Di image kami, file pertama adalah 00-eqvps.conf, yang mengizinkan root dan kata sandi agar Anda bisa masuk di hari pertama. Ubah di sana:

sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
       -e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
       /etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '

Perintah terakhir menampilkan apa yang benar-benar diterapkan sshd. Anda harus melihat:

permitrootlogin no
passwordauthentication no

Setelah ini, ssh root@… ditolak bahkan dengan kunci, dan deploy hanya bisa masuk dengan kunci.

4. Firewall: firewalld

Image cloud tidak menyertakan firewalld. Pasang, jalankan, dan biarkan terbuka hanya yang diperlukan:

dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services

Zona bawaan membuka cockpit (port 9090) dan dhcpv6-client. Cockpit tidak terpasang, tetapi tidak ada alasan membiarkan portnya terbuka. Saat menambahkan aplikasi, buka portnya dengan cara yang sama, misalnya firewall-cmd --permanent --add-service=https.

5. Pembaruan keamanan otomatis

dnf-automatic mengunduh pembaruan sesuai timer. Secara bawaan ia tidak memasangnya, jadi aktifkan:

dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Jika Anda hanya ingin perbaikan keamanan, atur juga upgrade_type = security di file yang sama.

6. Biarkan SELinux tetap aktif

getenforce menampilkan Enforcing di server baru, dan semua langkah di atas berjalan dengannya. Saat aplikasi membutuhkan port atau direktori yang tidak standar, solusinya adalah label (semanage port, restorecon), bukan setenforce 0.

Paket yang mana

Rocky 9 memakai sekitar 400 MB RAM saat diam. Paket Nano (1 GB, $3/bln) cukup untuk satu layanan kecil; Micro (2 GB, $5/bln) menyisakan ruang untuk database. Di paket NAT, SSH masuk lewat port pribadi yang tertera di dasbor. Jika Anda butuh port 80/443 terbuka untuk semua orang, pilih paket dengan IPv4 sendiri, seperti Micro-IP seharga $10/bln.

Rocky Linux 9 adalah salah satu image di halaman keluarga RHEL dan tersedia di semua paket VPS. Pembayaran dengan USDT, USDC, atau ETH di jaringan Base, Ethereum, atau Polygon, tanpa identitas atau kartu. Jika Anda lebih suka mengendalikan server lewat skrip, dokumentasi API membahas pemesanan, instal ulang, dan perpanjangan.