Een Rocky Linux VPS inrichten: de eerste stappen nadat je root hebt

Rocky Linux 9 is de gratis RHEL-compatibele keuze: dezelfde pakketten, dezelfde dnf, dezelfde firewalld en SELinux. Heb je al eens Debian of Ubuntu ingericht, dan is de volgorde van de stappen gelijk; alleen de gereedschappen verschillen. Dit zijn de eerste tien minuten op een verse Rocky 9-server.

Elk commando hieronder hebben we vóór publicatie uitgevoerd op ons Rocky Linux 9-image. Op een schone server duurt de hele reeks een paar minuten.

1. Werk het systeem bij

Log in als root met het wachtwoord uit het dashboard en werk bij:

dnf -y upgrade

Op ons image duurde dat in de test enkele seconden, omdat het image al actueel was.

2. Maak een sudo-gebruiker en voeg je SSH-sleutel toe

Op Rocky heet de beheerdersgroep wheel, niet sudo:

useradd -m -G wheel deploy
passwd deploy                      # sudo will ask for this password

Zet je publieke sleutel op de server (zo maak je er een). Als je hem naar /root/key.pub hebt gekopieerd:

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh

restorecon zet de SELinux-labels die sshd verwacht. Met een verkeerd label faalt inloggen met de sleutel zonder duidelijke foutmelding.

Open een tweede terminal en controleer dat ssh deploy@YOUR.SERVER.IP werkt en dat sudo -v het wachtwoord accepteert. Houd de root-sessie open tot dat zo is.

3. Zet root- en wachtwoordlogin uit

Hier wijkt Rocky af van de standaardwijziging in sshd_config. Instellingen staan in losse bestanden onder /etc/ssh/sshd_config.d/, en sshd neemt de eerste waarde die het vindt. Op ons image is het eerste bestand 00-eqvps.conf, dat root en wachtwoord toestaat zodat je op dag één binnenkomt. Pas het daar aan:

sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
       -e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
       /etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '

Het laatste commando toont wat sshd echt afdwingt. Je wilt zien:

permitrootlogin no
passwordauthentication no

Daarna wordt ssh root@… geweigerd, zelfs met een sleutel, en logt deploy alleen nog met de sleutel in.

4. Firewall: firewalld

Het cloud-image bevat geen firewalld. Installeer en start het, en laat alleen open wat nodig is:

dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services

De standaardzone opent cockpit (poort 9090) en dhcpv6-client. Cockpit is niet geïnstalleerd, maar er is geen reden om die poort open te laten. Voeg je een app toe, open dan op dezelfde manier de poort ervan, bijvoorbeeld firewall-cmd --permanent --add-service=https.

5. Automatische beveiligingsupdates

dnf-automatic downloadt updates volgens een timer. Standaard installeert het ze niet, dus zet dat aan:

dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Wil je alleen beveiligingsfixes, zet dan in hetzelfde bestand ook upgrade_type = security.

6. Laat SELinux aan

getenforce toont Enforcing op een verse server, en alles hierboven werkt ermee. Heeft een app een afwijkende poort of map nodig, dan is de oplossing een label (semanage port, restorecon), niet setenforce 0.

Welk pakket

Rocky 9 gebruikt in rust ongeveer 400 MB RAM. Het pakket Nano (1 GB, $3/maand) is genoeg voor één kleine dienst; Micro (2 GB, $5/maand) laat ruimte voor een database. Bij NAT-pakketten komt SSH binnen via een persoonlijke poort uit het dashboard. Heb je poorten 80/443 open voor iedereen nodig, kies dan een pakket met eigen IPv4, zoals Micro-IP voor $10/maand.

Rocky Linux 9 is een van de images op de pagina van de RHEL-familie en beschikbaar bij elk pakket onder VPS. Betalen gaat in USDT, USDC of ETH op Base, Ethereum of Polygon, zonder ID of kaart. Stuur je de server liever aan met scripts, dan beschrijft de API-documentatie bestellen, herinstalleren en verlengen.