Zacznij od zweryfikowanego dostępu i ścieżki odtwarzania, a następnie skonfiguruj indywidualną administrację, przetestowane klucze SSH, restrykcyjny firewall, utrzymywane oprogramowanie i niezależne kopie zapasowe. Wprowadzaj zmiany stopniowo i zweryfikuj nową sesję przed zamknięciem starej.
Ustanów zaufany punkt wyjścia
Przed zmianą maszyny potwierdź oczekiwany system operacyjny, metodę dostępu i ścieżkę odtwarzania. Zweryfikuj tożsamość hosta SSH przez zatwierdzone informacje operatora, zamiast akceptować nieoczekiwany klucz bez zbadania sprawy. Chroń tymczasowe poświadczenia i zastępuj je zamierzonym procesem. Zapisz, która osoba odpowiada za utrzymanie i jakie opcje odtwarzania są faktycznie dostępne dla tej usługi.
Podczas zmian dostępu utrzymuj otwartą działającą sesję administracyjną. Skopiowana recepta utwardzania może usunąć jedyne użyteczne logowanie, gdy zakłada inną dystrybucję lub układ kont. Wprowadzaj jedną zmianę naraz, sprawdzaj jej rzeczywisty wynik i zachowuj drogę powrotną. Celem jest system, którym możesz bezpiecznie zarządzać, a nie konfiguracja, która wygląda surowo, ale nie da się nią administrować.
Uczyń dostęp SSH zamierzonym
Utwórz indywidualny dostęp administracyjny z odpowiednimi uprawnieniami, zamiast współdzielić jedno stałe logowanie root. Zainstaluj i przetestuj zamierzony klucz publiczny, przechowując klucz prywatny na autoryzowanym punkcie końcowym. Dokumentacja Ubuntu OpenSSH wyjaśnia konfigurację serwera i wybory uwierzytelniania. Przeczytaj obowiązującą konfigurację dla swojej dystrybucji, w tym dołączone pliki, zanim założysz, że edycja jednego ustawienia zmieniła całą usługę.
Przetestuj dostęp kluczem w drugiej sesji, zanim zmienisz uwierzytelnianie hasłem lub reguły uprzywilejowanego logowania. Upewnij się, że nowe konto może wykonywać potrzebną administrację. Przejrzyj automatyzację zależną od poprzedniej metody i zamień jej dostęp w sposób zamierzony. Klucz to poświadczenie dostępu, więc używaj prywatnej lokalizacji przechowywania i procesu rotacji, zamiast zostawiać kopie w katalogach aplikacji.
Eksponuj aplikację, a nie całą maszynę
Zinwentaryzuj nasłuchujące usługi i wskaż, które muszą być publiczne. Aplikacja webowa może potrzebować HTTP i HTTPS, podczas gdy jej baza danych może pozostać osiągalna tylko przez zamierzoną ścieżkę wewnętrzną. Ubuntu opisuje UFW jako narzędzie konfiguracji firewalla, ale użyteczna polityka jest niezależna od narzędzia: zezwól na wymagany ruch i ogranicz administrację do zatwierdzonych źródeł, gdy to praktyczne.
Sprawdź zarówno kontrole na poziomie hosta, jak i dostawcy, jeśli usługa je obejmuje. Przed włączeniem restrykcyjnego zestawu reguł zezwól na przetestowaną ścieżkę administracji i zweryfikuj dostęp z innej sesji. Nie zakładaj, że przeniesienie SSH na inny port zastępuje uwierzytelnianie lub łatanie. Utrzymuj reguły firewalla zrozumiałe, aby przyszłe rozwiązywanie problemów nie prowadziło do otwierania każdego portu jako obejścia.
| Zmiana | Sprawdź przed zastosowaniem | Sprawdź po zastosowaniu |
|---|---|---|
| Nowy klucz SSH | Prawidłowe konto i klucz publiczny | Druga sesja uwierzytelniona kluczem działa |
| Restrykcyjny firewall | Wymagana usługa i ścieżki odtwarzania | Publiczna aplikacja działa; niezamierzone porty są zamknięte |
| Aktualizacja oprogramowania | Konsekwencje dla kopii zapasowej i restartu | Usługi restartują się, a testy aplikacji przechodzą |
| Zmiana uprawnień usługi | Wymagane ścieżki odczytu i zapisu | Aplikacja działa bez szerszego dostępu do systemu |
Planuj aktualizacje jako proces operacyjny
Utrzymuj system i zależności aplikacji w dobrym stanie. Wskazówki Ubuntu dotyczące automatycznych aktualizacji opisują nienadzorowane aktualizacje, dozwolone źródła i zachowanie restartu. Repozytorium innej firmy nie jest automatycznie objęte tylko dlatego, że zostało dodane do maszyny. Przejrzyj, co faktycznie obejmuje skonfigurowany proces aktualizacji, i zapewnij osobno zainstalowanym aplikacjom własną ścieżkę utrzymania.
Zdecyduj, jak będą obsługiwane restarty usług i ponowne uruchomienia. Zastosowanie aktualizacji pakietu nie zawsze oznacza, że każdy działający proces używa nowego kodu. Użyj okna serwisowego, gdy obciążenie tego wymaga, i wykonaj po nim prostą kontrolę aplikacji. Jeśli pakiet wymaga ręcznych kroków migracji, udokumentuj je, zamiast wyłączać wszystkie aktualizacje na czas nieokreślony i zapominać o wynikającej z tego ekspozycji.
Ogranicz dostęp aplikacji i chroń odtwarzanie
Uruchamiaj usługi z uprawnieniami, których potrzebują, i oddziel publiczne treści od sekretów oraz metadanych wdrożenia. Proces webowy nie powinien móc przepisywać każdego ustawienia systemowego. Trzymaj sekrety środowiskowe poza publicznie serwowanymi katalogami i unikaj umieszczania ich w logach, eksportach wsparcia lub ogólnych kopiach zapasowych bez zamierzonej polityki ochrony. Usuwaj nieużywane pakiety i usługi, gdy nie mają celu operacyjnego.
Utrzymuj niezależną kopię zapasową i testuj przywracanie aplikacji do odizolowanego środowiska. Ogranicz poświadczenia kopii zapasowej, aby przejęta aplikacja nie mogła automatycznie usunąć każdej kopii odtwarzania. Monitoruj pojemność dysku, wiek kopii zapasowej i awarie usług. Logowanie powinno odpowiadać na zdefiniowane pytania operacyjne, z kontrolowanym dostępem i retencją; nie powinno stawać się nieograniczoną kopią wrażliwych żądań.
Sekwencja pierwszego wdrożenia, która pozostaje możliwa do przeglądu
W przypadku nowego VPS najpierw zweryfikuj dostęp i odtwarzanie, a następnie ustanów konto administracyjne i przetestowany klucz. Skonfiguruj firewall, zastosuj aktualizacje i wdróż aplikację na jej zamierzonym koncie usługi. Potwierdź publiczne zachowanie z innego środowiska, sprawdź, że prywatnych plików nie można pobrać, i wykonaj przywracanie kopii zapasowej. Prowadź notatki o każdej decyzji i ścieżce odwrócenia zmiany dostępu.
Vector VPS, Pulse NVMe i wybrane plany dedykowane przedstawiają wybory Linux w katalogu SwissOctet. Potwierdź wybrany obraz i podział prac utrzymaniowych przed złożeniem zamówienia. Żadna nazwa obrazu Linux nie dowodzi, że utwardzanie, aktualizacje lub kopie zapasowe są już zarządzane. Podstawa to zestaw kontroli, które konfigurujesz, weryfikujesz i nadal utrzymujesz wraz ze zmianami projektu.
Twoja praktyczna lista kontrolna.
- Zweryfikuj tożsamość hosta SSH i ścieżkę odtwarzania.
- Przetestuj indywidualny dostęp kluczem w drugiej sesji.
- Ogranicz nasłuchujące usługi i reguły firewalla.
- Przejrzyj zakres aktualizacji i zachowanie restartu.
- Oddziel sekrety od publicznych plików i uprawnień usług.
- Przetestuj niezależną kopię odtwarzania.
Szczegóły, które mają znaczenie.
Czy powinienem natychmiast wyłączyć logowanie hasłem?+
Najpierw ustanów i przetestuj zastępczy dostęp kluczem oraz ścieżkę odtwarzania. Następnie zmień uwierzytelnianie zgodnie z obsługiwaną konfiguracją.
Czy zmiana portu SSH zastępuje utwardzanie?+
Nie. Nie zastępuje silnego uwierzytelniania, ograniczonego dostępu, aktualizacji ani odpowiednich uprawnień konta.
Czy automatyczne aktualizacje wystarczą dla każdej aplikacji?+
Nie. Sprawdź dozwolone repozytoria, wymagania restartu i oprogramowanie zainstalowane poza procesem aktualizacji systemu.
Przejdź do źródła.
Te źródła wspierają koncepcje techniczne w tym przewodniku. Przed zmianą systemu produkcyjnego zapoznaj się z aktualną dokumentacją.
- Ubuntu Server: serwer OpenSSH ubuntu.com
- Ubuntu Server: firewalle ubuntu.com
- Ubuntu Server: automatyczne aktualizacje ubuntu.com
Wskazówki redakcyjne SwissOctet. Przykłady są ilustracyjne. Specyfikacje usług, dostępne opcje i warunki umowne należy zweryfikować osobno.