Aloita vahvistetusta käytöstä ja palautusreitistä ja määritä sitten yksilöllinen ylläpito, testatut SSH-avaimet, rajoittava palomuuri, ylläpidetty ohjelmisto ja riippumattomat varmuuskopiot. Tee muutokset asteittain ja vahvista uusi istunto ennen vanhan sulkemista.
Luo luotettu aloituspiste
Ennen koneen muuttamista vahvista odotettu käyttöjärjestelmä, käyttötapa ja palautusreitti. Vahvista SSH-isännän identiteetti operaattorin hyväksymien tietojen kautta sen sijaan, että hyväksyisit odottamattoman avaimen tutkimatta. Pidä väliaikaiset tunnistetiedot yksityisinä ja vaihda ne aiotun prosessin kautta. Kirjaa, kuka henkilö on vastuussa ylläpidosta ja mitkä palautusvaihtoehdot ovat todella käytettävissä tässä palvelussa.
Pidä toimiva ylläpitoistunto avoinna, kun teet käyttömuutoksia. Kopioitu kovennusresepti voi poistaa ainoan käyttökelpoisen kirjautumisen, kun se olettaa eri jakelun tai tiliasettelun. Tee yksi muutos kerrallaan, tarkista sen todellinen tulos ja säilytä paluureitti. Tavoitteena on järjestelmä, jota voit ylläpitää turvallisesti, ei kokoonpano, joka näyttää tiukalta mutta jota ei voi hallita.
Tee SSH-käytöstä harkittua
Luo yksilöllinen hallinnollinen käyttöoikeus asianmukaisin oikeuksin sen sijaan, että jakaisit yhden pysyvän root-kirjautumisen. Asenna ja testaa aiottu julkinen avain ja pidä yksityinen avain valtuutetussa päätepisteessä. Ubuntu OpenSSH -dokumentaatio selittää palvelimen konfigurointia ja todennusvaihtoehtoja. Lue jakelusi voimassa oleva konfiguraatio, mukaan lukien sisällytetyt tiedostot, ennen kuin oletat yhden asetuksen muokkaamisen muuttaneen koko palvelua.
Testaa avainpääsy toisen istunnon kautta ennen salasanatodennuksen tai etuoikeutetun kirjautumisen sääntöjen muuttamista. Varmista, että uusi tili pystyy suorittamaan tarvitsemansa hallinnan. Käy läpi automaatio, joka riippuu aiemmasta menetelmästä, ja korvaa sen pääsy harkitusti. Avain on pääsytieto, joten käytä yksityistä tallennuspaikkaa ja kierrätysprosessia sen sijaan, että jättäisit kopioita sovellushakemistoihin.
Paljasta sovellus, ei koko konetta
Kartoita kuuntelevat palvelut ja tunnista, mitkä niistä on oltava julkisia. Verkkosovellus voi tarvita HTTP ja HTTPS, kun taas sen tietokanta voi pysyä tavoitettavissa vain aiottua sisäistä reittiä pitkin. Ubuntu dokumentoi UFW:n palomuurin konfigurointityökaluna, mutta hyödyllinen käytäntö on työkalusta riippumaton: salli tarvittava liikenne ja rajoita hallinta hyväksyttyihin lähteisiin, kun se on käytännöllistä.
Tarkista sekä isäntätason että palveluntarjoajatason hallinnat, jos palvelu sisältää ne. Ennen rajoittavan sääntöjoukon ottamista käyttöön salli testattu hallintareitti ja varmista pääsy toisesta istunnosta. Älä oleta, että SSH:n siirtäminen eri porttiin korvaa todennuksen tai paikkaukset. Pidä palomuurisäännöt ymmärrettävinä, jotta tuleva vianmääritys ei johda kaikkien porttien avaamiseen kiertotienä.
| Muuta | Tarkista ennen käyttöönottoa | Tarkista jälkeenpäin |
|---|---|---|
| Uusi SSH-avain | Oikea tili ja julkinen avain | Toinen avaimella todennettu istunto toimii |
| Rajoitettu palomuuri | Tarvittava palvelu- ja palautumispolku | Julkinen sovellus toimii; ei-toivotut portit on suljettu |
| Ohjelmistopäivitys | Varmuuskopioinnin ja uudelleenkäynnistyksen vaikutukset | Palvelut käynnistyvät uudelleen ja sovellustestit läpäisevät |
| Palvelun käyttöoikeuden muutos | Tarvittavat luku- ja kirjoituspolut | Sovellus toimii ilman laajempaa järjestelmän käyttöoikeutta |
Suunnittele päivitykset toimintaprosessina
Pidä järjestelmän ja sovelluksen riippuvuudet ylläpidettyinä. Ubuntu:n automaattista päivitystä koskeva ohjeistus kuvaa valvomattomia päivityksiä, sallittuja lähteitä ja uudelleenkäynnistyskäyttäytymistä. Kolmannen osapuolen ohjelmavarasto ei tule automaattisesti katetuksi vain siksi, että se on lisätty koneelle. Käy läpi, mitä määritetty päivitysprosessi todella sisältää, ja anna erikseen asennetuille sovelluksille oma ylläpitopolkunsa.
Päätä, miten palvelujen uudelleenkäynnistykset ja uudelleenkäynnistykset hoidetaan. Paketin päivityksen käyttäminen ei aina tarkoita, että jokainen käynnissä oleva prosessi käyttää uutta koodia. Käytä huoltoikkunaa, kun työkuorma sitä vaatii, ja suorita sen jälkeen yksinkertainen sovellustarkistus. Jos paketti vaatii manuaalisia siirtovaiheita, dokumentoi ne sen sijaan, että poistaisit kaikki päivitykset käytöstä toistaiseksi ja unohtaisit niistä aiheutuvan altistuksen.
Rajoita sovelluksen käyttöä ja suojaa palautus
Aja palveluita niiden tarvitsemilla käyttöoikeuksilla ja erota julkinen sisältö salaisuuksista ja käyttöönoton metatiedoista. Verkkoprosessin ei pitäisi pystyä kirjoittamaan uudelleen kaikkia järjestelmäasetuksia. Pidä ympäristön salaisuudet julkisesti tarjoiltavien hakemistojen ulkopuolella ja vältä sisällyttämästä niitä lokeihin, tukivienteihin tai yleisiin varmuuskopioihin ilman tarkoituksellista suojauskäytäntöä. Poista käyttämättömät paketit ja palvelut, kun niillä ei ole toiminnallista tarkoitusta.
Ylläpidä riippumatonta varmuuskopiota ja testaa sovelluksen palauttaminen eristettyyn ympäristöön. Rajoita varmuuskopioiden tunnistetietoja, jotta vaarantunut sovellus ei voi automaattisesti poistaa kaikkia palautuskopioita. Seuraa levyn kapasiteettia, varmuuskopioiden ikää ja palveluvirheitä. Lokien kirjaamisen tulee vastata määritettyihin toiminnallisiin kysymyksiin, ja pääsyä ja säilytystä on valvottava; siitä ei saa tulla rajoittamatonta kopiota arkaluontoisista pyynnöistä.
Ensimmäisen käyttöönoton sekvenssi, joka pysyy tarkistettavana
Uutta VPS:a varten varmista ensin pääsy ja palautuminen, perusta sitten hallinnollinen tili ja testattu avain. Määritä palomuuri, käytä päivitykset ja ota sovellus käyttöön sen aiottua palvelutiliä käyttäen. Vahvista julkinen käyttäytyminen toisesta ympäristöstä, tarkista, ettei yksityisiä tiedostoja voi noutaa, ja suorita varmuuskopion palautus. Pidä muistiinpanoja jokaisesta päätöksestä ja käyttöoikeusmuutoksen peruuttamispolusta.
Vector VPS, Pulse NVMe ja valitut erilliset suunnitelmat esittävät Linux-valintoja SwissOctet-luettelossa. Vahvista valittu levykuva ja ylläpitotyön jako ennen tilaamista. Mikään Linux-levykuvan nimi ei todista, että koventaminen, päivitykset tai varmuuskopiot olisi jo hoidettu. Perustaso on niiden hallintakeinojen joukko, jotka määrität, vahvistat ja joita ylläpidät edelleen projektin muuttuessa.
Käytännön tarkistuslistasi.
- Vahvista SSH-isännän identiteetti ja palautumisreitti.
- Testaa yksilöllinen avainpääsy toisessa istunnossa.
- Rajoita kuuntelevia palveluita ja palomuurisääntöjä.
- Käy läpi päivityskattavuus ja uudelleenkäynnistyskäyttäytyminen.
- Erota salaisuudet julkisista tiedostoista ja palvelun käyttöoikeuksista.
- Testaa riippumaton palautuskopio.
Olennaiset yksityiskohdat.
Pitäisikö salasanakirjautuminen poistaa käytöstä heti?+
Perusta ja testaa ensin korvaava avainpääsy ja palautumisreitti. Muuta sitten todennusta tukemasi konfiguraation mukaisesti.
Korvaako SSH-portin muutos koventamisen?+
Ei. Se ei korvaa vahvaa todennusta, rajoitettua pääsyä, päivityksiä tai asianmukaista tilin käyttöoikeutta.
Riittävätkö automaattiset päivitykset jokaiseen sovellukseen?+
Ei. Tarkista sallitut ohjelmavarastot, uudelleenkäynnistysvaatimukset ja ohjelmisto, joka on asennettu järjestelmän päivitysprosessin ulkopuolelle.
Mene lähteelle.
Nämä lähteet tukevat tämän oppaan teknisiä käsitteitä. Noudata ajantasaisia dokumentaatioita ennen tuotantojärjestelmän muuttamista.
- Ubuntu Server: OpenSSH-palvelin ubuntu.com
- Ubuntu Server: Palomuurit ubuntu.com
- Ubuntu Server: Automaattiset päivitykset ubuntu.com
Toimituksellinen ohjaus: SwissOctet. Esimerkit ovat havainnollistavia. Palvelumääritykset, saatavilla olevat vaihtoehdot ja sopimusehdot on tarkistettava erikseen.