Cum configurezi un VPS cu Rocky Linux: primii pași după ce primești root

Rocky Linux 9 este alegerea gratuită compatibilă cu RHEL: aceleași pachete, același dnf, aceleași firewalld și SELinux. Dacă ai configurat deja Debian sau Ubuntu, ordinea pașilor este aceeași; diferă uneltele. Iată primele zece minute pe un server Rocky 9 nou.

Am rulat fiecare comandă de mai jos pe imaginea noastră Rocky Linux 9 înainte de publicare. Pe un server curat, toată secvența durează câteva minute.

1. Actualizează sistemul

Autentifică-te ca root cu parola din panou și actualizează:

dnf -y upgrade

Pe imaginea noastră a durat câteva secunde la test, pentru că imaginea era deja la zi.

2. Creează un utilizator sudo și adaugă cheia SSH

Pe Rocky grupul administratorilor este wheel, nu sudo:

useradd -m -G wheel deploy
passwd deploy                      # sudo will ask for this password

Pune cheia ta publică pe server (cum creezi una). Dacă ai copiat-o în /root/key.pub:

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/key.pub /home/deploy/.ssh/authorized_keys
restorecon -R /home/deploy/.ssh

restorecon setează etichetele SELinux pe care le așteaptă sshd. Cu o etichetă greșită, autentificarea cu cheie eșuează fără o eroare clară.

Deschide un al doilea terminal și verifică faptul că ssh deploy@YOUR.SERVER.IP funcționează și că sudo -v acceptă parola. Ține sesiunea root deschisă până atunci.

3. Dezactivează autentificarea root și cu parolă

Aici Rocky se abate de la modificarea clasică a sshd_config. Setările stau în fișiere separate din /etc/ssh/sshd_config.d/, iar sshd folosește prima valoare găsită. Pe imaginea noastră primul fișier este 00-eqvps.conf, care permite root și parolă ca să poți intra în prima zi. Modifică acolo:

sed -i -e 's/^PermitRootLogin .*/PermitRootLogin no/' \
       -e 's/^PasswordAuthentication .*/PasswordAuthentication no/' \
       /etc/ssh/sshd_config.d/00-eqvps.conf
sshd -t && systemctl reload sshd
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '

Ultima comandă arată ce aplică sshd de fapt. Trebuie să vezi:

permitrootlogin no
passwordauthentication no

De acum ssh root@… este refuzat chiar și cu cheie, iar deploy intră doar cu cheia.

4. Firewall: firewalld

Imaginea cloud nu conține firewalld. Instalează-l, pornește-l și lasă deschis doar ce trebuie:

dnf -y install firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-services

Zona implicită deschide cockpit (portul 9090) și dhcpv6-client. Cockpit nu este instalat, dar nu există motiv să-i lași portul deschis. Când adaugi o aplicație, deschide-i portul la fel, de exemplu firewall-cmd --permanent --add-service=https.

5. Actualizări de securitate automate

dnf-automatic descarcă actualizările după un temporizator. Implicit nu le instalează, așa că activează instalarea:

dnf -y install dnf-automatic
sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Dacă vrei doar remedieri de securitate, setează în același fișier și upgrade_type = security.

6. Lasă SELinux activ

getenforce afișează Enforcing pe un server nou, iar tot ce e mai sus funcționează cu el. Când o aplicație are nevoie de un port sau un director nestandard, soluția este o etichetă (semanage port, restorecon), nu setenforce 0.

Ce plan

Rocky 9 folosește în repaus aproximativ 400 MB RAM. Planul Nano (1 GB, $3/lună) ajunge pentru un serviciu mic; Micro (2 GB, $5/lună) lasă loc pentru o bază de date. Pe planurile NAT, SSH intră printr-un port personal afișat în panou. Dacă ai nevoie de porturile 80/443 deschise tuturor, alege un plan cu IPv4 propriu, de exemplu Micro-IP la $10/lună.

Rocky Linux 9 este una dintre imaginile de pe pagina familiei RHEL și este disponibil pe toate planurile din secțiunea VPS. Plata se face în USDT, USDC sau ETH pe Base, Ethereum sau Polygon, fără acte și fără card. Dacă preferi să controlezi serverul din scripturi, documentația API acoperă comanda, reinstalarea și reînnoirea.