Start med verifisert tilgang og en gjenopprettingsrute, og konfigurer deretter individuell administrasjon, testede SSH-nøkler, en restriktiv brannmur, vedlikeholdt programvare og uavhengige sikkerhetskopier. Bruk endringer trinnvis og verifiser en ny økt før du lukker den gamle.
Etabler et pålitelig utgangspunkt
Før du endrer maskinen, bekreft forventet operativsystem, tilgangsmetode og gjenopprettingsrute. Verifiser SSH-vertens identitet gjennom operatørens godkjente informasjon i stedet for å akseptere en uventet nøkkel uten undersøkelse. Hold midlertidige legitimasjoner private og erstatt dem gjennom den tiltenkte prosessen. Registrer hvilken person som er ansvarlig for vedlikehold og hvilke gjenopprettingsalternativer som faktisk er tilgjengelige for denne tjenesten.
Hold en fungerende administrasjonsøkt åpen mens du gjør tilgangsendringer. En kopiert herdingsoppskrift kan fjerne den eneste brukbare innloggingen når den forutsetter en annen distribusjon eller kontooppsett. Ta én endring om gangen, sjekk det faktiske resultatet og bevar en vei tilbake. Målet er et system du kan vedlikeholde trygt, ikke en konfigurasjon som ser streng ut, men ikke kan administreres.
Gjør SSH-tilgang bevisst
Opprett individuell administrativ tilgang med passende privilegier i stedet for å dele én permanent root-innlogging. Installer og test den tiltenkte offentlige nøkkelen, og hold den private nøkkelen på det autoriserte endepunktet. Ubuntus OpenSSH-dokumentasjon forklarer serverkonfigurasjon og autentiseringsvalg. Les den faktiske konfigurasjonen for distribusjonen din, inkludert inkluderte filer, før du antar at redigering av én innstilling har endret hele tjenesten.
Test nøkkeltilgang gjennom en andre økt før du endrer passordautentisering eller regler for privilegert innlogging. Sikre at den nye kontoen kan utføre den administrasjonen den trenger. Gå gjennom automatisering som er avhengig av den tidligere metoden og erstatt tilgangen bevisst. En nøkkel er en tilgangslegitimasjon, så bruk et privat lagringssted og en rotasjonsprosess i stedet for å legge igjen kopier i applikasjonskataloger.
Eksponer applikasjonen, ikke hele maskinen
Kartlegg de lyttende tjenestene og identifiser hvilke som må være offentlige. En nettapplikasjon kan trenge HTTP og HTTPS, mens databasen kan forbli tilgjengelig bare gjennom den tiltenkte interne ruten. Ubuntu dokumenterer UFW som et verktøy for brannmurkonfigurasjon, men den nyttige policyen er uavhengig av verktøyet: tillat den nødvendige trafikken og begrens administrasjon til de godkjente kildene der det er praktisk.
Sjekk både kontroller på vertsnivå og leverandørnivå hvis tjenesten inkluderer dem. Før du aktiverer et restriktivt regelsett, tillat den testede administrasjonsruten og verifiser tilgang fra en annen økt. Ikke anta at det å flytte SSH til en annen port erstatter autentisering eller oppdatering. Hold brannmurregler forståelige slik at fremtidig feilsøking ikke fører til at alle porter åpnes som en midlertidig løsning.
| Endring | Sjekk før bruk | Sjekk etterpå |
|---|---|---|
| Ny SSH-nøkkel | Riktig konto og offentlig nøkkel | Andre nøkkelautentiserte økt fungerer |
| Restriktiv brannmur | Nødvendige tjeneste- og gjenopprettingsruter | Offentlig app fungerer; utilsiktede porter er lukket |
| Programvareoppdatering | Konsekvenser for sikkerhetskopi og omstart | Tjenester starter på nytt og applikasjonstester består |
| Endring av tjenestetillatelse | Nødvendige lese- og skrivebaner | App fungerer uten bredere systemtilgang |
Planlegg oppdateringer som en driftsprosess
Hold systemet og applikasjonsavhengighetene vedlikeholdt. Ubuntus veiledning for automatiske oppdateringer beskriver ubetjente oppgraderinger, tillatte opprinnelser og omstartsatferd. Et tredjepartsarkiv dekkes ikke automatisk bare fordi det ble lagt til på maskinen. Gå gjennom hva den konfigurerte oppdateringsprosessen faktisk inkluderer, og gi separat installerte applikasjoner sin egen vedlikeholdsvei.
Bestem hvordan tjenesteomstarter og omstart av maskinen skal håndteres. Å bruke en pakkeoppdatering betyr ikke alltid at hver kjørende prosess bruker den nye koden. Bruk et vedlikeholdsvindu der arbeidsbelastningen krever det, og utfør en enkel applikasjonssjekk etterpå. Hvis en pakke trenger manuelle migreringstrinn, dokumenter dem i stedet for å deaktivere alle oppdateringer på ubestemt tid og glemme den resulterende eksponeringen.
Begrens applikasjonstilgang og beskytt gjenoppretting
Kjør tjenester med tillatelsene de trenger, og skill offentlig innhold fra hemmeligheter og distribusjonsmetadata. En nettprosess bør ikke kunne skrive om alle systeminnstillinger. Hold miljøhemmeligheter utenfor offentlig betjente kataloger og unngå å inkludere dem i logger, støtteeksporter eller generelle sikkerhetskopier uten en bevisst beskyttelsespolitikk. Fjern ubrukte pakker og tjenester når de ikke har noe operativt formål.
Vedlikehold en uavhengig sikkerhetskopi og test gjenoppretting av applikasjonen i et isolert miljø. Begrens sikkerhetskopilegitimasjoner slik at en kompromittert applikasjon ikke automatisk kan slette hver gjenopprettingskopi. Overvåk diskkapasitet, sikkerhetskopialder og tjenestefeil. Logging bør svare på definerte operative spørsmål, med tilgang og oppbevaring kontrollert; den bør ikke bli en ubegrenset kopi av sensitive forespørsler.
En førstegangs distribusjonssekvens som forblir gjennomgåelig
For en ny VPS, verifiser først tilgang og gjenoppretting, og etabler deretter den administrative kontoen og den testede nøkkelen. Konfigurer brannmuren, bruk oppdateringer og distribuer applikasjonen under den tiltenkte tjenestekontoen. Bekreft offentlig atferd fra et annet miljø, sjekk at private filer ikke kan hentes og utfør en sikkerhetskopigjenoppretting. Ta notater om hver beslutning og veien for å reversere en tilgangsendring.
Vector VPS, Pulse NVMe og utvalgte dedikerte planer presenterer Linux-valg i SwissOctet-katalogen. Bekreft det valgte bildet og fordelingen av vedlikeholdsarbeid før bestilling. Intet Linux-bildenavn beviser at herding, oppdateringer eller sikkerhetskopier allerede er administrert. Grunnlinjen er settet med kontroller du konfigurerer, verifiserer og fortsetter å vedlikeholde etter hvert som prosjektet endres.
Din praktiske sjekkliste.
- Verifiser SSH-vertens identitet og gjenopprettingsrute.
- Test individuell nøkkeltilgang i en andre økt.
- Begrens lyttende tjenester og brannmurregler.
- Gå gjennom oppdateringsdekning og omstartsatferd.
- Skill hemmeligheter fra offentlige filer og tjenestetillatelser.
- Test en uavhengig gjenopprettingskopi.
Detaljene som betyr noe.
Bør jeg deaktivere passordinnlogging umiddelbart?+
Etabler og test først den erstattende nøkkeltilgangen og gjenopprettingsruten. Endre deretter autentisering i henhold til din støttede konfigurasjon.
Er en SSH-portendring en erstatning for herding?+
Nei. Den erstatter ikke sterk autentisering, begrenset tilgang, oppdateringer eller passende kontoprivilegier.
Er automatiske oppdateringer nok for hver applikasjon?+
Nei. Sjekk tillatte arkiver, omstartskrav og programvare installert utenfor systemets oppdateringsprosess.
Gå til kilden.
Disse referansene støtter de tekniske konseptene i denne veiledningen. Følg gjeldende dokumentasjon før du endrer et produksjonssystem.
- Ubuntu Server: OpenSSH-server ubuntu.com
- Ubuntu Server: Brannmurer ubuntu.com
- Ubuntu Server: Automatiske oppdateringer ubuntu.com
Redaksjonell veiledning av SwissOctet. Eksempler er illustrerende. Tjenestespesifikasjoner, tilgjengelige alternativer og kontraktsvilkår må verifiseres separat.