Start med verificeret adgang og en gendannelsesvej, og konfigurer derefter individuel administration, testede SSH-nøgler, en restriktiv firewall, vedligeholdt software og uafhængige backups. Anvend ændringer trinvist, og verificér en ny session, før du lukker den gamle.
Etabler et troværdigt udgangspunkt
Før du ændrer maskinen, skal du bekræfte det forventede operativsystem, adgangsmetoden og gendannelsesvejen. Verificér SSH-værtsidentiteten gennem operatørens godkendte oplysninger i stedet for at acceptere en uventet nøgle uden undersøgelse. Hold midlertidige legitimationsoplysninger private, og erstat dem gennem den tilsigtede proces. Registrér, hvilken person der er ansvarlig for vedligeholdelse, og hvilke gendannelsesmuligheder der faktisk er tilgængelige for denne tjeneste.
Hold en fungerende administrationssession åben, mens du foretager adgangsændringer. En kopieret hardening-opskrift kan fjerne det eneste brugbare login, når den forudsætter en anden distribution eller kontolayout. Tag én ændring ad gangen, kontrollér dens effektive resultat, og bevar en vej tilbage. Målet er et system, du kan vedligeholde sikkert, ikke en konfiguration, der ser streng ud, men ikke kan administreres.
Gør SSH-adgang bevidst
Opret individuel administrativ adgang med passende rettigheder i stedet for at dele ét permanent root-login. Installér og test den tilsigtede offentlige nøgle, og behold den private nøgle på det autoriserede endpoint. Ubuntu OpenSSH-dokumentationen forklarer serverkonfiguration og valg af godkendelse. Læs den effektive konfiguration for din distribution, inklusive inkluderede filer, før du antager, at redigering af én indstilling har ændret hele tjenesten.
Test nøgleadgang gennem en anden session, før du ændrer adgangskodegodkendelse eller regler for privilegeret login. Sikr, at den nye konto kan udføre den nødvendige administration. Gennemgå enhver automatisering, der afhænger af den tidligere metode, og erstat dens adgang bevidst. En nøgle er en adgangslegitimationsoplysning, så brug et privat lagersted og en rotationsproces i stedet for at efterlade kopier i applikationsmapper.
Eksponér applikationen, ikke hele maskinen
Kortlæg de lyttende tjenester, og identificér hvilke der skal være offentlige. En webapplikation kan have brug for HTTP og HTTPS, mens dens database kan forblive tilgængelig kun gennem den tilsigtede interne sti. Ubuntu dokumenterer UFW som et værktøj til firewallkonfiguration, men den nyttige politik er uafhængig af værktøjet: tillad den nødvendige trafik, og begræns administration til de godkendte kilder, hvor det er praktisk.
Kontrollér både kontroller på værtsniveau og udbyderniveau, hvis tjenesten omfatter dem. Før du aktiverer et restriktivt regelsæt, skal du tillade den testede administrationssti og bekræfte adgang fra en anden session. Antag ikke, at flytning af SSH til en anden port erstatter godkendelse eller patching. Hold firewallregler forståelige, så fremtidig fejlfinding ikke fører til at åbne alle porte som en midlertidig løsning.
| Ændring | Kontrollér før anvendelse | Kontrollér bagefter |
|---|---|---|
| Ny SSH-nøgle | Korrekt konto og offentlig nøgle | Anden nøgleautentificeret session virker |
| Begrænset firewall | Nødvendige tjeneste- og gendannelsesstier | Offentlig app virker; utilsigtede porte er lukkede |
| Softwareopdatering | Konsekvenser for backup og genstart | Tjenester genstarter, og applikationstests består |
| Ændring af tjenestetilladelser | Nødvendige læse- og skrivestier | App virker uden bredere systemadgang |
Planlæg opdateringer som en driftsproces
Hold systemet og applikationsafhængigheder vedligeholdt. Ubuntus vejledning om automatiske opdateringer beskriver uovervågede opgraderinger, tilladte kilder og genstartsadfærd. Et tredjepartsarkiv er ikke automatisk dækket, blot fordi det blev føjet til maskinen. Gennemgå, hvad den konfigurerede opdateringsproces faktisk omfatter, og giv separat installerede applikationer deres egen vedligeholdelsessti.
Beslut, hvordan tjenestegenstarter og genstarter håndteres. Anvendelse af en pakkeopdatering betyder ikke altid, at hver kørende proces bruger den nye kode. Brug et vedligeholdelsesvindue, hvor arbejdsbelastningen kræver det, og udfør en simpel applikationskontrol bagefter. Hvis en pakke kræver manuelle migreringstrin, skal du dokumentere dem i stedet for at deaktivere alle opdateringer på ubestemt tid og glemme den resulterende eksponering.
Begræns applikationsadgang og beskyt gendannelse
Kør tjenester med de tilladelser, de har brug for, og adskil offentligt indhold fra hemmeligheder og udrulningsmetadata. En webproces bør ikke kunne omskrive alle systemindstillinger. Hold miljøhemmeligheder uden for offentligt betjente mapper, og undgå at inkludere dem i logfiler, supporteksporter eller generelle backupper uden en bevidst beskyttelsespolitik. Fjern ubrugte pakker og tjenester, når de ikke har noget operationelt formål.
Vedligehold en uafhængig backup, og test gendannelse af applikationen i et isoleret miljø. Begræns backup-legitimationsoplysninger, så en kompromitteret applikation ikke automatisk kan slette hver gendannelseskopi. Overvåg diskkapacitet, backup-alder og tjenestefejl. Logning bør besvare definerede operationelle spørgsmål med kontrolleret adgang og opbevaring; den bør ikke blive en ubegrænset kopi af følsomme anmodninger.
En førstegangsudrulningssekvens, der forbliver reviderbar
For en ny VPS skal du først bekræfte adgang og gendannelse, derefter oprette den administrative konto og den testede nøgle. Konfigurér firewallen, anvend opdateringer, og udrul applikationen under dens tilsigtede tjenestekonto. Bekræft offentlig adfærd fra et andet miljø, kontrollér at private filer ikke kan hentes, og udfør en backupgendannelse. Notér hver beslutning og stien til at vende en adgangsændring.
Vector VPS, Pulse NVMe og udvalgte dedikerede planer præsenterer Linux-valg i SwissOctet-kataloget. Bekræft det valgte image og fordelingen af vedligeholdelsesarbejdet, før du bestiller. Intet Linux-imagenavn beviser, at hærdning, opdateringer eller backupper allerede er administreret. Basislinjen er det sæt kontroller, du konfigurerer, verificerer og fortsætter med at vedligeholde, efterhånden som projektet ændrer sig.
Din praktiske tjekliste.
- Bekræft SSH-værtens identitet og gendannelsesrute.
- Test individuel nøgleadgang i en anden session.
- Begræns lyttende tjenester og firewallregler.
- Gennemgå opdateringsdækning og genstartsadfærd.
- Adskil hemmeligheder fra offentlige filer og tjenestetilladelser.
- Test en uafhængig gendannelseskopi.
De detaljer, der betyder noget.
Skal jeg deaktivere adgangskodelogin med det samme?+
Etabler og test først den erstattende nøgleadgang og gendannelsesrute. Ændr derefter godkendelse i overensstemmelse med din understøttede konfiguration.
Er en ændring af SSH-porten en erstatning for hærdning?+
Nej. Det erstatter ikke stærk godkendelse, begrænset adgang, opdateringer eller passende kontoprivilegier.
Er automatiske opdateringer nok til enhver applikation?+
Nej. Kontrollér tilladte arkiver, genstartskrav og software installeret uden for systemets opdateringsproces.
Gå til kilden.
Disse referencer understøtter de tekniske begreber i denne guide. Følg den aktuelle dokumentation, før du ændrer et produktionssystem.
- Ubuntu Server: OpenSSH-server ubuntu.com
- Ubuntu Server: Firewalls ubuntu.com
- Ubuntu Server: Automatiske opdateringer ubuntu.com
Redaktionel vejledning af SwissOctet. Eksempler er illustrative. Servicespecifikationer, tilgængelige valgmuligheder og kontraktvilkår skal verificeres separat.