Come configurare un VPS Rocky Linux: i primi passi dopo aver ottenuto root

Rocky Linux 9 è la scelta gratuita compatibile con RHEL: stessi pacchetti, stesso dnf, stessi firewalld e SELinux. Se hai già configurato Debian o Ubuntu, l'ordine dei passi è identico; cambiano gli strumenti. Ecco i primi dieci minuti su un server Rocky 9 appena creato.

Abbiamo eseguito ogni comando qui sotto sulla nostra immagine Rocky Linux 9 prima della pubblicazione. Su un server pulito l'intera sequenza richiede un paio di minuti.

1. Aggiorna il sistema

Accedi come root con la password del pannello e aggiorna:

dnf -y upgrade

Sulla nostra immagine, nel test, ci sono voluti pochi secondi perché l'immagine era già aggiornata.

2. Crea un utente sudo e aggiungi la tua chiave SSH

Su Rocky il gruppo degli amministratori è wheel, non sudo:

useradd -m -G wheel deploy
passwd deploy                      # sudo will ask for this password

Metti la tua chiave pubblica sul server (come crearne una). Se l'hai copiata in /root/key.pub:

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh

restorecon imposta le etichette SELinux che sshd si aspetta. Con l'etichetta sbagliata l'accesso con chiave fallisce senza un errore chiaro.

Apri un secondo terminale e verifica che ssh deploy@YOUR.SERVER.IP funzioni e che sudo -v accetti la password. Tieni aperta la sessione root fino ad allora.

3. Disattiva l'accesso root e via password

Qui Rocky si discosta dalla classica modifica di sshd_config. Le impostazioni stanno in file sotto /etc/ssh/sshd_config.d/, e sshd usa il primo valore che trova. Sulla nostra immagine il primo file è 00-eqvps.conf, che consente root e password così puoi entrare il primo giorno. Modificalo lì:

sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
       -e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
       /etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '

L'ultimo comando mostra cosa applicherà davvero sshd. Devi vedere:

permitrootlogin no
passwordauthentication no

Da qui in poi ssh root@… viene rifiutato anche con la chiave, e deploy entra solo con la chiave.

4. Firewall: firewalld

L'immagine cloud non include firewalld. Installalo, avvialo e lascia aperto solo il necessario:

dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services

La zona predefinita apre cockpit (porta 9090) e dhcpv6-client. Cockpit non è installato, ma non c'è motivo di lasciare aperta la sua porta. Quando aggiungi un'applicazione, apri la sua porta allo stesso modo, ad esempio firewall-cmd --permanent --add-service=https.

5. Aggiornamenti di sicurezza automatici

dnf-automatic scarica gli aggiornamenti con un timer. Di default non li installa, quindi attivalo:

dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Se vuoi solo le correzioni di sicurezza, imposta anche upgrade_type = security nello stesso file.

6. Lascia SELinux attivo

getenforce stampa Enforcing su un server nuovo, e tutto quanto sopra funziona così. Quando un'applicazione ha bisogno di una porta o una cartella non standard, la soluzione è un'etichetta (semanage port, restorecon), non setenforce 0.

Quale piano

Rocky 9 usa circa 400 MB di RAM a riposo. Il piano Nano (1 GB, $3/mese) basta per un piccolo servizio; Micro (2 GB, $5/mese) lascia spazio a un database. Sui piani NAT, SSH arriva da una porta personale indicata nel pannello. Se ti servono le porte 80/443 aperte a tutti, scegli un piano con IPv4 propria, come Micro-IP a $10/mese.

Rocky Linux 9 è tra le immagini della pagina della famiglia RHEL ed è disponibile su tutti i piani VPS. Il pagamento è in USDT, USDC o ETH su Base, Ethereum o Polygon, senza documenti né carta. Se preferisci gestire il server da script, la documentazione API copre ordine, reinstallazione e rinnovo.