Rocky Linux იგივეა, რაც RHEL?

ის იმავე წყაროს კოდიდან იკრიბება და Red Hat Enterprise Linux 9-თან სრულ თავსებადობას ისახავს მიზნად, ამიტომ RHEL-ის სახელმძღვანელოები, პაკეტები და ჩვევები (dnf, firewalld, SELinux) აქაც მოქმედებს. Red Hat-ის გამოწერა არ გჭირდებათ.

რატომ არ მოქმედებს ჩემი SSH ცვლილება Rocky-ზე?

Rocky კითხულობს ფაილებს /etc/ssh/sshd_config.d/-ში სახელების მიხედვით და თითოეულ პარამეტრზე იმარჯვებს პირველი ნაპოვნი მნიშვნელობა. ჩვენს იმიჯზე პირველი ფაილია 00-eqvps.conf, ამიტომ პარამეტრი იქ შეცვალეთ და სესიის დახურვამდე შედეგი sshd -T-ით შეამოწმეთ.

გამოვრთო SELinux?

არა. ახალ ინსტალაციაზე ის Enforcing რეჟიმშია და აქ აღწერილი ყველა ნაბიჯი მასთან ერთად მუშაობს. თუ SSH-ისთვის ან ვებ-სერვერისთვის ფაილებს უჩვეულო ადგილას ქმნით, ამ გზაზე restorecon -R ეტიკეტებს გაასწორებს. ეტიკეტის პრობლემის გამო SELinux-ის გამორთვა დაცვის რეალურ ფენას აშორებს.

შემიძლია SSH პორტის შეცვლა?

საკუთარი IPv4-ის მქონე გეგმაზე კი, თუ ახალ პორტს firewalld-შიც და SELinux-შიც დაუშვებთ. NAT გეგმაზე sshd 22-ზე დატოვეთ: თქვენი პირადი გარე პორტი უკვე გადამისამართებულია სერვერის შიგნით 22-ზე და sshd-ის გადატანა ამ გადამისამართებას შლის.

რომელი გეგმა ეყოფა Rocky Linux-ს?

Rocky 9 უმოქმედობისას დაახლოებით 400 MB RAM-ს იყენებს, ამიტომ 1 GB-იანი Nano პატარა სერვისისთვის საკმარისია. მონაცემთა ბაზით ან კონტეინერებით 2 GB-იანი Micro უფრო მოხერხებულია.

Rocky Linux 9 VPS-ის მომზადება ნაბიჯ-ნაბიჯ

პირველი ათი წუთი ახალ Rocky Linux 9 VPS-ზე: განახლება dnf-ით, sudo მომხმარებელი თქვენი SSH გასაღებით, root-ითა და პაროლით შესვლის გამორთვა, firewalld და უსაფრთხოების ავტომატური განახლებები. ყველა ბრძანება შემოწმებულია ჩვენს იმიჯზე.

Rocky Linux 9 არის RHEL-თან თავსებადი უფასო არჩევანი: იგივე პაკეტები, იგივე dnf, იგივე firewalld და SELinux. თუ უკვე მოგიმზადებიათ Debian ან Ubuntu, ნაბიჯების თანმიმდევრობა იგივეა; განსხვავდება ხელსაწყოები. აქ არის პირველი ათი წუთი ახალ Rocky 9 სერვერზე.

ქვემოთ მოცემული ყველა ბრძანება გამოქვეყნებამდე ჩვენს Rocky Linux 9 იმიჯზე გავუშვით. სუფთა სერვერზე მთელ თანმიმდევრობას რამდენიმე წუთი სჭირდება.

1. განაახლეთ სისტემა

შედით root-ად პანელიდან აღებული პაროლით და განაახლეთ:

dnf -y upgrade

ჩვენს იმიჯზე ტესტისას ამას წამები დასჭირდა, რადგან იმიჯი უკვე განახლებული იყო.

2. შექმენით sudo მომხმარებელი და დაამატეთ თქვენი SSH გასაღები

Rocky-ზე ადმინისტრატორების ჯგუფს wheel ჰქვია და არა sudo:

useradd -m -G wheel deploy
passwd deploy                      # sudo will ask for this password

განათავსეთ თქვენი საჯარო გასაღები სერვერზე (როგორ შევქმნათ). თუ ის /root/key.pub-ში დააკოპირეთ:

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh

restorecon აყენებს SELinux-ის იმ ეტიკეტებს, რომლებსაც sshd ელის. არასწორი ეტიკეტით გასაღებით შესვლა მკაფიო შეცდომის გარეშე ჩავარდება.

გახსენით მეორე ტერმინალი და შეამოწმეთ, რომ ssh deploy@YOUR.SERVER.IP მუშაობს, ხოლო sudo -v პაროლს იღებს. მანამდე root სესია ღია დატოვეთ.

3. გამორთეთ root-ითა და პაროლით შესვლა

აქ Rocky განსხვავდება sshd_config-ის სახელმძღვანელოსეული რედაქტირებისგან. პარამეტრები ცალკე ფაილებშია /etc/ssh/sshd_config.d/-ში და sshd პირველ ნაპოვნ მნიშვნელობას იყენებს. ჩვენს იმიჯზე პირველი ფაილია 00-eqvps.conf, რომელიც root-სა და პაროლს უშვებს, რომ პირველ დღეს შესვლა შეძლოთ. შეცვალეთ იქ:

sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
       -e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
       /etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '

ბოლო ბრძანება აჩვენებს, რას აღასრულებს sshd სინამდვილეში. უნდა დაინახოთ:

permitrootlogin no
passwordauthentication no

ამის შემდეგ ssh root@… უარყოფილია გასაღებითაც, ხოლო deploy მხოლოდ გასაღებით შედის.

4. ფაიერვოლი: firewalld

ღრუბლოვან იმიჯში firewalld არ არის. დააინსტალირეთ, გაუშვით და ღია დატოვეთ მხოლოდ საჭირო:

dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services

ნაგულისხმევი ზონა ხსნის cockpit-ს (პორტი 9090) და dhcpv6-client-ს. Cockpit დაინსტალირებული არ არის, მაგრამ მისი პორტის ღიად დატოვების მიზეზი არ არსებობს. აპლიკაციის დამატებისას მისი პორტი იმავე გზით გახსენით, მაგალითად firewall-cmd --permanent --add-service=https.

5. უსაფრთხოების ავტომატური განახლებები

dnf-automatic განახლებებს ტაიმერით ტვირთავს. ნაგულისხმევად მათ არ აყენებს, ამიტომ ჩართეთ ინსტალაცია:

dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

თუ მხოლოდ უსაფრთხოების შესწორებები გინდათ, იმავე ფაილში დააყენეთ upgrade_type = security.

6. დატოვეთ SELinux ჩართული

ახალ სერვერზე getenforce აჩვენებს Enforcing-ს და ზემოთ აღწერილი ყველაფერი მასთან მუშაობს. როცა აპლიკაციას არასტანდარტული პორტი ან საქაღალდე სჭირდება, გამოსავალი ეტიკეტია (semanage port, restorecon) და არა setenforce 0.

რომელი გეგმა

Rocky 9 უმოქმედობისას დაახლოებით 400 MB RAM-ს იყენებს. გეგმა Nano (1 GB, $3/თვე) ერთი პატარა სერვისისთვის საკმარისია; Micro (2 GB, $5/თვე) მონაცემთა ბაზისთვის ადგილს ტოვებს. NAT გეგმებზე SSH შემოდის პანელში ნაჩვენები პირადი პორტით. თუ 80/443 პორტები ყველასთვის ღია გჭირდებათ, აირჩიეთ საკუთარი IPv4-ის მქონე გეგმა, მაგალითად Micro-IP $10/თვე.

Rocky Linux 9 ერთ-ერთი იმიჯია RHEL-ის ოჯახის გვერდზე და ხელმისაწვდომია VPS განყოფილების ყველა გეგმაზე. გადახდა ხდება USDT-ით, USDC-ით ან ETH-ით Base, Ethereum ან Polygon ქსელებში, დოკუმენტებისა და ბარათის გარეშე. თუ სერვერის სკრიპტებით მართვა გირჩევნიათ, შეკვეთა, ხელახალი ინსტალაცია და გაგრძელება აღწერილია API-ის დოკუმენტაციაში.

როგორ მოვამზადოთ Rocky Linux VPS: პირველი ნაბიჯები root-ის მიღების შემდეგ