Ξεκινήστε με επαληθευμένη πρόσβαση και μια διαδρομή ανάκτησης, και στη συνέχεια διαμορφώστε ατομική διαχείριση, δοκιμασμένα κλειδιά SSH, ένα περιοριστικό τείχος προστασίας, συντηρούμενο λογισμικό και ανεξάρτητα αντίγραφα ασφαλείας. Εφαρμόστε τις αλλαγές σταδιακά και επαληθεύστε μια νέα συνεδρία πριν κλείσετε την παλιά.
Καθιερώστε ένα αξιόπιστο σημείο εκκίνησης
Πριν αλλάξετε το μηχάνημα, επιβεβαιώστε το αναμενόμενο λειτουργικό σύστημα, τη μέθοδο πρόσβασης και τη διαδρομή ανάκτησης. Επαληθεύστε την ταυτότητα του κεντρικού υπολογιστή SSH μέσω των εγκεκριμένων πληροφοριών του φορέα εκμετάλλευσης αντί να αποδεχτείτε ένα μη αναμενόμενο κλειδί χωρίς διερεύνηση. Κρατήστε τα προσωρινά διαπιστευτήρια ιδιωτικά και αντικαταστήστε τα μέσω της προβλεπόμενης διαδικασίας. Καταγράψτε ποιο άτομο είναι υπεύθυνο για τη συντήρηση και ποιες επιλογές ανάκτησης είναι πραγματικά διαθέσιμες για αυτήν την υπηρεσία.
Κρατήστε μια ενεργή συνεδρία διαχείρισης ανοιχτή όσο κάνετε αλλαγές πρόσβασης. Μια αντιγραμμένη συνταγή σκλήρυνσης μπορεί να αφαιρέσει τη μοναδική χρησιμοποιήσιμη σύνδεση όταν υποθέτει διαφορετική διανομή ή διάταξη λογαριασμών. Κάντε μία αλλαγή τη φορά, ελέγξτε το πραγματικό αποτέλεσμά της και διατηρήστε μια διαδρομή επιστροφής. Ο στόχος είναι ένα σύστημα που μπορείτε να συντηρείτε με ασφάλεια, όχι μια διαμόρφωση που φαίνεται αυστηρή αλλά δεν μπορεί να διαχειριστεί.
Κάντε την πρόσβαση στο SSH σκόπιμη
Δημιουργήστε ατομική πρόσβαση διαχείρισης με κατάλληλα προνόμια αντί να μοιράζεστε μία μόνιμη σύνδεση root. Εγκαταστήστε και δοκιμάστε το προβλεπόμενο δημόσιο κλειδί, κρατώντας το ιδιωτικό κλειδί στο εξουσιοδοτημένο τελικό σημείο. Η τεκμηρίωση του Ubuntu OpenSSH εξηγεί τη διαμόρφωση του διακομιστή και τις επιλογές αυθεντικοποίησης. Διαβάστε την πραγματική διαμόρφωση για τη διανομή σας, συμπεριλαμβανομένων των αρχείων που περιλαμβάνονται, πριν υποθέσετε ότι η επεξεργασία μιας ρύθμισης άλλαξε ολόκληρη την υπηρεσία.
Δοκιμάστε την πρόσβαση με κλειδί μέσω μιας δεύτερης συνεδρίας πριν αλλάξετε την αυθεντικοποίηση με κωδικό πρόσβασης ή τους κανόνες προνομιακής σύνδεσης. Βεβαιωθείτε ότι ο νέος λογαριασμός μπορεί να εκτελέσει τη διαχείριση που χρειάζεται. Εξετάστε κάθε αυτοματισμό που εξαρτάται από την προηγούμενη μέθοδο και αντικαταστήστε την πρόσβασή του σκόπιμα. Ένα κλειδί είναι διαπιστευτήριο πρόσβασης, επομένως χρησιμοποιήστε μια ιδιωτική τοποθεσία αποθήκευσης και μια διαδικασία εναλλαγής αντί να αφήνετε αντίγραφα μέσα σε καταλόγους εφαρμογών.
Εκθέστε την εφαρμογή, όχι ολόκληρο το μηχάνημα
Καταγράψτε τις υπηρεσίες που ακούν και προσδιορίστε ποιες πρέπει να είναι δημόσιες. Μια διαδικτυακή εφαρμογή μπορεί να χρειάζεται HTTP και HTTPS, ενώ η βάση δεδομένων της μπορεί να παραμένει προσβάσιμη μόνο μέσω της προβλεπόμενης εσωτερικής διαδρομής. Το Ubuntu τεκμηριώνει το UFW ως εργαλείο διαμόρφωσης τείχους προστασίας, αλλά η χρήσιμη πολιτική είναι ανεξάρτητη από το εργαλείο: επιτρέψτε την απαιτούμενη κίνηση και περιορίστε τη διαχείριση στις εγκεκριμένες πηγές όπου είναι πρακτικό.
Ελέγξτε τόσο τους ελέγχους σε επίπεδο κεντρικού υπολογιστή όσο και σε επίπεδο παρόχου, εάν η υπηρεσία τους περιλαμβάνει. Πριν ενεργοποιήσετε ένα περιοριστικό σύνολο κανόνων, επιτρέψτε τη δοκιμασμένη διαδρομή διαχείρισης και επαληθεύστε την πρόσβαση από μια άλλη συνεδρία. Μην υποθέτετε ότι η μετακίνηση του SSH σε διαφορετική θύρα αντικαθιστά την αυθεντικοποίηση ή την ενημέρωση κώδικα. Κρατήστε τους κανόνες του τείχους προστασίας κατανοητούς, ώστε η μελλοντική αντιμετώπιση προβλημάτων να μην οδηγεί στο άνοιγμα κάθε θύρας ως λύση.
| Αλλαγή | Έλεγχος πριν από την εφαρμογή | Έλεγχος μετά |
|---|---|---|
| Νέο κλειδί SSH | Σωστός λογαριασμός και δημόσιο κλειδί | Η δεύτερη συνεδρία με αυθεντικοποίηση κλειδιού λειτουργεί |
| Περιοριστικό τείχος προστασίας | Απαιτούμενες διαδρομές υπηρεσίας και ανάκτησης | Η δημόσια εφαρμογή λειτουργεί· οι μη προβλεπόμενες θύρες είναι κλειστές |
| Ενημέρωση λογισμικού | Επιπτώσεις σε αντίγραφα ασφαλείας και επανεκκίνηση | Οι υπηρεσίες επανεκκινούνται και οι δοκιμές της εφαρμογής περνούν |
| Αλλαγή δικαιωμάτων υπηρεσίας | Απαιτούμενες διαδρομές ανάγνωσης και εγγραφής | Η εφαρμογή λειτουργεί χωρίς ευρύτερη πρόσβαση στο σύστημα |
Σχεδιάστε τις ενημερώσεις ως λειτουργική διαδικασία
Διατηρήστε το σύστημα και τις εξαρτήσεις της εφαρμογής ενημερωμένα. Η καθοδήγηση του Ubuntu για αυτόματες ενημερώσεις περιγράφει μη επιτηρούμενες αναβαθμίσεις, επιτρεπόμενες προελεύσεις και συμπεριφορά επανεκκίνησης. Ένα αποθετήριο τρίτου μέρους δεν καλύπτεται αυτόματα απλώς επειδή προστέθηκε στο μηχάνημα. Εξετάστε τι περιλαμβάνει πραγματικά η διαμορφωμένη διαδικασία ενημέρωσης και δώστε στις ξεχωριστά εγκατεστημένες εφαρμογές τη δική τους διαδρομή συντήρησης.
Αποφασίστε πώς θα αντιμετωπίζονται οι επανεκκινήσεις υπηρεσιών και οι επανεκκινήσεις του συστήματος. Η εφαρμογή μιας ενημέρωσης πακέτου δεν σημαίνει πάντα ότι κάθε εκτελούμενη διεργασία χρησιμοποιεί τον νέο κώδικα. Χρησιμοποιήστε ένα παράθυρο συντήρησης όπου το φόρτο εργασίας το απαιτεί και εκτελέστε έναν απλό έλεγχο της εφαρμογής μετά. Εάν ένα πακέτο απαιτεί μη αυτόματα βήματα μετεγκατάστασης, τεκμηριώστε τα αντί να απενεργοποιήσετε όλες τις ενημερώσεις επ' αόριστον και να ξεχάσετε την έκθεση που προκύπτει.
Περιορίστε την πρόσβαση της εφαρμογής και προστατέψτε την ανάκτηση
Εκτελέστε τις υπηρεσίες με τα δικαιώματα που χρειάζονται και διαχωρίστε το δημόσιο περιεχόμενο από τα μυστικά και τα μεταδεδομένα ανάπτυξης. Μια διεργασία ιστού δεν πρέπει να μπορεί να ξαναγράψει κάθε ρύθμιση του συστήματος. Κρατήστε τα μυστικά του περιβάλλοντος έξω από δημόσια προσβάσιμους καταλόγους και αποφύγετε να τα συμπεριλάβετε σε αρχεία καταγραφής, εξαγωγές υποστήριξης ή γενικά αντίγραφα ασφαλείας χωρίς σκόπιμη πολιτική προστασίας. Αφαιρέστε τα αχρησιμοποίητα πακέτα και υπηρεσίες όταν δεν έχουν λειτουργικό σκοπό.
Διατηρήστε ένα ανεξάρτητο αντίγραφο ασφαλείας και δοκιμάστε την επαναφορά της εφαρμογής σε απομονωμένο περιβάλλον. Περιορίστε τα διαπιστευτήρια των αντιγράφων ασφαλείας, ώστε μια παραβιασμένη εφαρμογή να μην μπορεί να διαγράψει αυτόματα κάθε αντίγραφο ανάκτησης. Παρακολουθήστε τη χωρητικότητα του δίσκου, την ηλικία των αντιγράφων ασφαλείας και τις αστοχίες υπηρεσιών. Η καταγραφή θα πρέπει να απαντά σε καθορισμένα λειτουργικά ερωτήματα, με ελεγχόμενη πρόσβαση και διατήρηση· δεν θα πρέπει να γίνεται απεριόριστο αντίγραφο ευαίσθητων αιτημάτων.
Μια ακολουθία πρώτης ανάπτυξης που παραμένει ελέγξιμη
Για ένα νέο VPS, επαληθεύστε πρώτα την πρόσβαση και την ανάκτηση, και στη συνέχεια δημιουργήστε τον λογαριασμό διαχείρισης και το δοκιμασμένο κλειδί. Διαμορφώστε το τείχος προστασίας, εφαρμόστε ενημερώσεις και αναπτύξτε την εφαρμογή υπό τον προβλεπόμενο λογαριασμό υπηρεσίας. Επιβεβαιώστε τη δημόσια συμπεριφορά από άλλο περιβάλλον, ελέγξτε ότι τα ιδιωτικά αρχεία δεν μπορούν να ανακτηθούν και εκτελέστε επαναφορά αντιγράφου ασφαλείας. Κρατήστε σημειώσεις για κάθε απόφαση και τη διαδρομή αναίρεσης μιας αλλαγής πρόσβασης.
Τα Vector VPS, Pulse NVMe και επιλεγμένα αποκλειστικά προγράμματα παρουσιάζουν επιλογές Linux στον κατάλογο SwissOctet. Επιβεβαιώστε την επιλεγμένη εικόνα και την κατανομή της εργασίας συντήρησης πριν από την παραγγελία. Κανένα όνομα εικόνας Linux δεν αποδεικνύει ότι η σκλήρυνση, οι ενημερώσεις ή τα αντίγραφα ασφαλείας διαχειρίζονται ήδη. Η βάση είναι το σύνολο των ελέγχων που διαμορφώνετε, επαληθεύετε και συνεχίζετε να συντηρείτε καθώς αλλάζει το έργο.
Η πρακτική λίστα ελέγχου σας.
- Επαληθεύστε την ταυτότητα του κεντρικού υπολογιστή SSH και τη διαδρομή ανάκτησης.
- Δοκιμάστε την ατομική πρόσβαση με κλειδί σε μια δεύτερη συνεδρία.
- Περιορίστε τις υπηρεσίες που ακούν και τους κανόνες του τείχους προστασίας.
- Εξετάστε την κάλυψη των ενημερώσεων και τη συμπεριφορά επανεκκίνησης.
- Διαχωρίστε τα μυστικά από τα δημόσια αρχεία και τα δικαιώματα υπηρεσιών.
- Δοκιμάστε ένα ανεξάρτητο αντίγραφο ανάκτησης.
Οι λεπτομέρειες που έχουν σημασία.
Πρέπει να απενεργοποιήσω αμέσως τη σύνδεση με κωδικό πρόσβασης;+
Πρώτα δημιουργήστε και δοκιμάστε την πρόσβαση με κλειδί αντικατάστασης και τη διαδρομή ανάκτησης. Στη συνέχεια αλλάξτε την αυθεντικοποίηση σύμφωνα με τη διαμόρφωση που υποστηρίζετε.
Αντικαθιστά η αλλαγή θύρας SSH τη σκλήρυνση;+
Όχι. Δεν αντικαθιστά την ισχυρή αυθεντικοποίηση, την περιορισμένη πρόσβαση, τις ενημερώσεις ή τα κατάλληλα δικαιώματα λογαριασμού.
Αρκούν οι αυτόματες ενημερώσεις για κάθε εφαρμογή;+
Όχι. Ελέγξτε τα επιτρεπόμενα αποθετήρια, τις απαιτήσεις επανεκκίνησης και το λογισμικό που είναι εγκατεστημένο εκτός της διαδικασίας ενημέρωσης του συστήματος.
Πηγαίνετε στην πηγή.
Αυτές οι αναφορές υποστηρίζουν τις τεχνικές έννοιες σε αυτόν τον οδηγό. Ακολουθήστε την τρέχουσα τεκμηρίωση πριν αλλάξετε ένα σύστημα παραγωγής.
- Ubuntu Server: Διακομιστής OpenSSH ubuntu.com
- Ubuntu Server: Τείχη προστασίας ubuntu.com
- Ubuntu Server: Αυτόματες ενημερώσεις ubuntu.com
Συντακτική καθοδήγηση από SwissOctet. Τα παραδείγματα είναι ενδεικτικά. Οι προδιαγραφές υπηρεσιών, οι διαθέσιμες επιλογές και οι συμβατικοί όροι πρέπει να επαληθεύονται ξεχωριστά.