ابدأ بوصول موثّق ومسار استرداد، ثم كوّن إدارة فردية ومفاتيح SSH مختبرة وجدار حماية مقيّدًا وبرمجيات مصانة ونسخًا احتياطية مستقلة. طبّق التغييرات تدريجيًا وتحقق من جلسة جديدة قبل إغلاق القديمة.
أنشئ نقطة بداية موثوقة
قبل تغيير الآلة، تأكد من نظام التشغيل المتوقع وطريقة الوصول ومسار الاسترداد. تحقق من هوية مضيف SSH عبر المعلومات المعتمدة من المشغّل بدلًا من قبول مفتاح غير متوقع دون تحقيق. احتفظ ببيانات الاعتماد المؤقتة خاصة واستبدلها عبر العملية المقصودة. سجّل من المسؤول عن الصيانة وخيارات الاسترداد المتاحة فعلاً لهذه الخدمة.
أبقِ جلسة إدارة عاملة مفتوحة أثناء إجراء تغييرات الوصول. فقد تزيل وصفة تقوية منسوخة تسجيل الدخول الوحيد القابل للاستخدام عندما تفترض توزيعة أو تخطيط حساب مختلفًا. نفّذ تغييرًا واحدًا في كل مرة، وافحص نتيجته الفعلية، واحتفظ بمسار للعودة. الهدف نظام يمكنك صيانته بأمان، لا تكوين يبدو صارمًا لكن لا يمكن إدارته.
اجعل الوصول إلى SSH متعمدًا
أنشئ وصولاً إدارياً فردياً بصلاحيات مناسبة بدلاً من مشاركة تسجيل دخول جذر دائم واحد. ثبّت المفتاح العام المقصود واختبره، مع الاحتفاظ بالمفتاح الخاص على نقطة النهاية المصرّح بها. توضح وثائق Ubuntu OpenSSH إعدادات الخادم وخيارات المصادقة. اقرأ الإعدادات الفعّالة لتوزيعتك، بما في ذلك الملفات المضمّنة، قبل افتراض أن تعديل إعداد واحد قد غيّر الخدمة بأكملها.
اختبر الوصول بالمفتاح عبر جلسة ثانية قبل تغيير مصادقة كلمة المرور أو قواعد تسجيل الدخول المميّزة. تأكد من أن الحساب الجديد قادر على أداء الأعمال الإدارية التي يحتاجها. راجع أي أتمتة تعتمد على الطريقة السابقة واستبدل وصولها بشكل مدروس. المفتاح هو بيانات اعتماد للوصول، لذا استخدم موقع تخزين خاصاً وعملية تدوير بدلاً من ترك نسخ داخل أدلة التطبيق.
اكشف التطبيق، لا الآلة كاملة
اجرد الخدمات المستمعة وحدد أيها يجب أن يكون عاماً. قد يحتاج تطبيق الويب إلى HTTP وHTTPS، بينما يمكن أن تظل قاعدة بياناته قابلة للوصول فقط عبر المسار الداخلي المقصود. توثق Ubuntu أداة UFW كأداة لإعداد جدار الحماية، لكن السياسة المفيدة مستقلة عن الأداة: اسمح بالمرور المطلوب وقيّد الإدارة على المصادر المعتمدة حيثما كان ذلك عملياً.
تحقق من الضوابط على مستوى المضيف ومستوى المزوّد إذا كانت الخدمة تتضمنها. قبل تمكين مجموعة قواعد تقييدية، اسمح بمسار الإدارة المُختبر وتحقق من الوصول من جلسة أخرى. لا تفترض أن نقل SSH إلى منفذ مختلف يستبدل المصادقة أو الترقيع. اجعل قواعد جدار الحماية مفهومة حتى لا يؤدي استكشاف الأخطاء مستقبلاً إلى فتح كل المنافذ كحل بديل.
| التغيير | تحقق قبل التطبيق | تحقق بعد ذلك |
|---|---|---|
| مفتاح SSH جديد | الحساب الصحيح والمفتاح العام | جلسة ثانية مصادَق عليها بالمفتاح تعمل |
| جدار حماية مقيّد | الخدمة المطلوبة ومسارات الاستعادة | التطبيق العام يعمل؛ المنافذ غير المقصودة مغلقة |
| تحديث البرمجيات | آثار النسخ الاحتياطي وإعادة التشغيل | إعادة تشغيل الخدمات ونجاح اختبارات التطبيق |
| تغيير صلاحيات الخدمة | مسارات القراءة والكتابة المطلوبة | التطبيق يعمل دون وصول أوسع إلى النظام |
خطّط للتحديثات كعملية تشغيلية
حافظ على صيانة النظام وتبعيات التطبيق. تصف إرشادات التحديث التلقائي في Ubuntu الترقيات غير المراقَبة والمصادر المسموح بها وسلوك إعادة التشغيل. لا يُغطى مستودع طرف ثالث تلقائياً لمجرد إضافته إلى الجهاز. راجع ما تتضمنه عملية التحديث المُهيّأة فعلاً، وامنح التطبيقات المثبّتة بشكل منفصل مسار صيانة خاصاً بها.
حدد كيفية التعامل مع إعادة تشغيل الخدمات وإعادة تشغيل النظام. تطبيق تحديث حزمة لا يعني دائماً أن كل عملية قيد التشغيل تستخدم الشيفرة الجديدة. استخدم نافذة صيانة حيثما يتطلب عبء العمل ذلك، وأجرِ فحصاً بسيطاً للتطبيق بعدها. إذا احتاجت حزمة إلى خطوات ترحيل يدوية، وثّقها بدلاً من تعطيل كل التحديثات إلى أجل غير مسمى ونسيان التعرض الناتج.
قيّد وصول التطبيق واحمِ الاسترداد
شغّل الخدمات بالصلاحيات التي تحتاجها، وافصل المحتوى العام عن الأسرار وبيانات النشر الوصفية. يجب ألا تكون عملية الويب قادرة على إعادة كتابة كل إعدادات النظام. احتفظ بأسرار البيئة خارج الأدلة المقدَّمة للعموم وتجنب تضمينها في السجلات أو صادرات الدعم أو النسخ الاحتياطية العامة دون سياسة حماية مقصودة. أزل الحزم والخدمات غير المستخدمة عندما لا يكون لها غرض تشغيلي.
حافظ على نسخة احتياطية مستقلة واختبر استعادة التطبيق في بيئة معزولة. قيّد بيانات اعتماد النسخ الاحتياطي حتى لا يتمكن تطبيق مخترَق من حذف كل نسخة استعادة تلقائياً. راقب سعة القرص وعمر النسخ الاحتياطي وأعطال الخدمات. يجب أن يجيب التسجيل على أسئلة تشغيلية محددة، مع التحكم في الوصول والاحتفاظ؛ ويجب ألا يصبح نسخة غير محدودة من الطلبات الحساسة.
تسلسل نشر أولي يبقى قابلًا للمراجعة
بالنسبة إلى VPS جديد، تحقق أولاً من الوصول والاستعادة، ثم أنشئ الحساب الإداري والمفتاح المُختبر. هيّئ جدار الحماية، وطبّق التحديثات، وانشر التطبيق تحت حساب الخدمة المقصود. أكّد السلوك العام من بيئة أخرى، وتحقق من عدم إمكانية استرجاع الملفات الخاصة، وأجرِ استعادة نسخة احتياطية. احتفظ بملاحظات حول كل قرار ومسار عكس تغيير الوصول.
تعرض Vector VPS وPulse NVMe وخطط مخصصة مختارة خيارات Linux في كتالوج SwissOctet. أكّد الصورة المختارة وتقسيم أعمال الصيانة قبل الطلب. لا يثبت أي اسم صورة Linux أن التقوية أو التحديثات أو النسخ الاحتياطية مُدارة بالفعل. الأساس هو مجموعة الضوابط التي تهيّئها وتتحقق منها وتستمر في صيانتها مع تغيّر المشروع.
قائمة التحقق العملية.
- تحقق من هوية مضيف SSH ومسار الاستعادة.
- اختبر وصول المفتاح الفردي في جلسة ثانية.
- قيّد الخدمات المستمعة وقواعد جدار الحماية.
- راجع تغطية التحديثات وسلوك إعادة التشغيل.
- افصل الأسرار عن الملفات العامة وصلاحيات الخدمة.
- اختبر نسخة استعادة مستقلة.
التفاصيل المهمة.
هل ينبغي تعطيل تسجيل الدخول بكلمة المرور فوراً؟+
أنشئ أولاً وصول المفتاح البديل ومسار الاستعادة واختبرهما. ثم غيّر المصادقة وفق الإعدادات المدعومة لديك.
هل يستبدل تغيير منفذ SSH التقوية؟+
لا. فهو لا يستبدل المصادقة القوية أو الوصول المقيّد أو التحديثات أو صلاحيات الحساب المناسبة.
هل تكفي التحديثات التلقائية لكل تطبيق؟+
لا. تحقق من المستودعات المسموح بها ومتطلبات إعادة التشغيل والبرمجيات المثبّتة خارج عملية تحديث النظام.
اذهب إلى المصدر.
تدعم هذه المراجع المفاهيم التقنية في هذا الدليل. اتبع الوثائق الحالية قبل تغيير نظام إنتاجي.
- خادم Ubuntu: خادم OpenSSH ubuntu.com
- خادم Ubuntu: جدران الحماية ubuntu.com
- خادم Ubuntu: التحديثات التلقائية ubuntu.com
إرشاد تحريري من SwissOctet. الأمثلة توضيحية. يجب التحقق من مواصفات الخدمة والخيارات المتاحة والشروط التعاقدية بشكل منفصل.