Začněte ověřeným přístupem a cestou obnovy, poté nakonfigurujte individuální správu, otestované klíče SSH, restriktivní firewall, udržovaný software a nezávislé zálohy. Změny provádějte postupně a před uzavřením staré relace ověřte novou.
Vytvořte důvěryhodný výchozí bod
Před změnou stroje potvrďte očekávaný operační systém, způsob přístupu a cestu obnovy. Ověřte identitu hostitele SSH prostřednictvím schválených informací provozovatele, místo abyste bez prošetření přijali neočekávaný klíč. Dočasné přihlašovací údaje udržujte v soukromí a nahraďte je zamýšleným procesem. Zaznamenejte, která osoba odpovídá za údržbu a které možnosti obnovy jsou pro tuto službu skutečně dostupné.
Při provádění změn přístupu udržujte otevřenou funkční relaci správy. Zkopírovaný recept na zpevnění může odstranit jediné použitelné přihlášení, pokud předpokládá jinou distribuci nebo uspořádání účtů. Provádějte vždy jednu změnu, zkontrolujte její skutečný výsledek a zachovejte cestu zpět. Cílem je systém, který můžete bezpečně udržovat, ne konfigurace, která vypadá přísně, ale nelze ji spravovat.
Udělejte přístup k SSH záměrným
Vytvořte individuální administrativní přístup s odpovídajícími oprávněními, místo abyste sdíleli jedno trvalé přihlášení root. Nainstalujte a otestujte zamýšlený veřejný klíč a soukromý klíč uchovávejte na autorizovaném koncovém bodu. Dokumentace Ubuntu OpenSSH vysvětluje konfiguraci serveru a možnosti ověřování. Přečtěte si skutečnou konfiguraci pro svou distribuci, včetně zahrnutých souborů, než budete předpokládat, že úprava jednoho nastavení změnila celou službu.
Před změnou ověřování heslem nebo pravidel privilegovaného přihlášení otestujte přístup klíčem prostřednictvím druhé relace. Ujistěte se, že nový účet může provádět potřebnou správu. Zkontrolujte veškerou automatizaci, která závisí na předchozím způsobu, a její přístup záměrně nahraďte. Klíč je přístupový údaj, proto používejte soukromé úložiště a proces rotace, místo abyste ponechávali kopie v adresářích aplikace.
Vystavte aplikaci, ne celý stroj
Zinventarizujte naslouchající služby a určete, které musí být veřejné. Webová aplikace může potřebovat HTTP a HTTPS, zatímco její databáze může zůstat dostupná pouze zamýšlenou interní cestou. Ubuntu dokumentuje UFW jako nástroj pro konfiguraci firewallu, ale užitečná zásada je na nástroji nezávislá: povolte požadovaný provoz a správu omezujte na schválené zdroje, kde je to praktické.
Zkontrolujte ovládací prvky na úrovni hostitele i poskytovatele, pokud je služba zahrnuje. Před povolením restriktivní sady pravidel povolte otestovanou cestu správy a ověřte přístup z jiné relace. Nepředpokládejte, že přesun SSH na jiný port nahrazuje ověřování nebo záplatování. Udržujte pravidla firewallu srozumitelná, aby budoucí řešení problémů nevedlo k otevření všech portů jako obchvatu.
| Změna | Zkontrolovat před použitím | Zkontrolovat poté |
|---|---|---|
| Nový klíč SSH | Správný účet a veřejný klíč | Druhá relace ověřená klíčem funguje |
| Restriktivní firewall | Požadované cesty služby a obnovy | Veřejná aplikace funguje; nechtěné porty jsou zavřené |
| Aktualizace softwaru | Důsledky pro zálohování a restart | Služby se restartují a testy aplikace procházejí |
| Změna oprávnění služby | Požadované cesty pro čtení a zápis | Aplikace funguje bez širšího přístupu k systému |
Plánujte aktualizace jako provozní proces
Udržujte systém a závislosti aplikace aktualizované. Pokyny Ubuntu pro automatické aktualizace popisují neobsluhované upgrady, povolené zdroje a chování restartu. Úložiště třetí strany není automaticky pokryto jen proto, že bylo přidáno do stroje. Zkontrolujte, co nakonfigurovaný proces aktualizace skutečně zahrnuje, a samostatně nainstalovaným aplikacím poskytněte vlastní cestu údržby.
Rozhodněte, jak budou řešeny restarty služeb a restartování systému. Použití aktualizace balíčku neznamená vždy, že každý běžící proces používá nový kód. Pokud to zátěž vyžaduje, použijte okno údržby a poté proveďte jednoduchou kontrolu aplikace. Pokud balíček vyžaduje ruční migrační kroky, zdokumentujte je, místo abyste všechny aktualizace na neurčito vypnuli a zapomněli na výsledné vystavení.
Omezte přístup k aplikaci a chraňte obnovu
Spouštějte služby s oprávněními, která potřebují, a oddělte veřejný obsah od tajemství a metadat nasazení. Webový proces by neměl být schopen přepsat veškeré systémové nastavení. Tajemství prostředí uchovávejte mimo veřejně poskytované adresáře a nezařazujte je do protokolů, exportů podpory ani obecných záloh bez záměrné ochranné politiky. Odstraňte nepoužívané balíčky a služby, pokud nemají provozní účel.
Udržujte nezávislou zálohu a otestujte obnovu aplikace do izolovaného prostředí. Omezte přihlašovací údaje k zálohám, aby kompromitovaná aplikace nemohla automaticky smazat všechny kopie pro obnovu. Sledujte kapacitu disku, stáří záloh a selhání služeb. Protokolování by mělo odpovídat na definované provozní otázky s řízeným přístupem a uchováváním; nemělo by se stát neomezenou kopií citlivých požadavků.
Sekvence prvního nasazení, která zůstává přezkoumatelná
U nového VPS nejprve ověřte přístup a obnovu, poté zřiďte administrativní účet a otestovaný klíč. Nakonfigurujte firewall, použijte aktualizace a nasaďte aplikaci pod jejím zamýšleným servisním účtem. Potvrďte veřejné chování z jiného prostředí, zkontrolujte, že soukromé soubory nelze načíst, a proveďte obnovu ze zálohy. Veďte si poznámky o každém rozhodnutí a o cestě pro vrácení změny přístupu.
Vector VPS, Pulse NVMe a vybrané dedikované plány představují volby Linux v katalogu SwissOctet. Před objednáním potvrďte zvolený obraz a rozdělení údržbových prací. Žádný název obrazu Linux nedokazuje, že zpevnění, aktualizace nebo zálohy jsou již spravovány. Základem je sada ovládacích prvků, které konfigurujete, ověřujete a nadále udržujete, jak se projekt mění.
Váš praktický kontrolní seznam.
- Ověřte identitu hostitele SSH a cestu obnovy.
- Otestujte individuální přístup klíčem v druhé relaci.
- Omezte naslouchající služby a pravidla firewallu.
- Zkontrolujte pokrytí aktualizací a chování restartu.
- Oddělte tajemství od veřejných souborů a oprávnění služeb.
- Otestujte nezávislou kopii pro obnovu.
Podrobnosti, na kterých záleží.
Mám okamžitě zakázat přihlašování heslem?+
Nejprve zřiďte a otestujte náhradní přístup klíčem a cestu obnovy. Poté změňte ověřování podle své podporované konfigurace.
Nahrazuje změna portu SSH zpevnění?+
Ne. Nenahrazuje silné ověřování, omezený přístup, aktualizace ani odpovídající oprávnění účtu.
Stačí automatické aktualizace pro každou aplikaci?+
Ne. Zkontrolujte povolená úložiště, požadavky na restart a software nainstalovaný mimo proces aktualizace systému.
Jděte ke zdroji.
Tyto zdroje podporují technické koncepty v tomto průvodci. Před změnou produkčního systému se řiďte aktuální dokumentací.
- Server Ubuntu: server OpenSSH ubuntu.com
- Server Ubuntu: firewally ubuntu.com
- Server Ubuntu: automatické aktualizace ubuntu.com
Redakční vedení od SwissOctet. Příklady jsou ilustrativní. Specifikace služeb, dostupné možnosti a smluvní podmínky je nutné ověřit samostatně.