Первые шаги на новом выделенном сервере

Ваш сервер установлен автоматически, а его учетные данные ждут вас в личном кабинете. Этот чек-лист проведет вас от первого входа до системы, которая обновлена, доступна под вашим собственным пользователем по SSH-ключу и защищена базовым файрволом. Он охватывает Ubuntu, Debian, AlmaLinux и Rocky Linux. Если вы установили Windows Server, вместо этого следуйте руководству по Windows Server.

Учетные данные и первый вход

Откройте сервер в личном кабинете (Серверы, затем нужный сервер) — там есть все необходимое для первого подключения:

• IPv4-адрес сервера — в этом руководстве он обозначен как 203.0.113.10. Ваша маршрутизируемая подсеть /64 IPv6 указана в личном кабинете.
• Пароль root, если только вы не выбрали вместо него установку SSH-ключа. В этом случае входите с соответствующим закрытым ключом.
• Внеполосный доступ — в личном кабинете: откройте сервер и выберите «Консоль (IPMI)». Помните о нем: он работает, даже когда SSH недоступен.

В Linux, macOS и актуальных версиях Windows есть клиент OpenSSH. Откройте терминал (в Windows — PowerShell) и подключитесь как root:

ssh root@203.0.113.10

При первом подключении SSH показывает отпечаток ключа хоста сервера и просит подтвердить его. Чтобы убедиться, что между вами и сервером никого нет, сравните его с отпечатком, который выводит эта команда в консоли IPMI, а затем введите yes:

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

Если вы вошли с паролем root из личного кабинета, сразу смените его, а затем удалите пароль из личного кабинета кнопкой Я сохранил его: удалить из моего аккаунта:

passwd

Команды в этом руководстве выполняются от имени root. Когда вы перейдете на работу под обычным пользователем, добавляйте перед ними sudo.

Установка обновлений

Установленный образ свежий, но обновления безопасности выходят постоянно. Установите их в первую очередь.

Ubuntu и Debian

apt update
apt -y upgrade

AlmaLinux и Rocky Linux

dnf -y upgrade

Если было установлено новое ядро, перезагрузите сервер, чтобы начать его использовать. Сессия закроется; подключитесь снова, когда сервер вернется в работу. Серверному оборудованию может потребоваться несколько минут на проверки встроенного ПО.

reboot

Для дальнейших обновлений в Ubuntu обычно уже включен unattended-upgrades для исправлений безопасности. В Debian установите его командой apt install -y unattended-upgrades и включите командой dpkg-reconfigure -plow unattended-upgrades; в AlmaLinux и Rocky Linux используйте dnf-automatic.

Настройка имени хоста и часового пояса

Задайте серверу полное доменное имя (FQDN) в домене, которым вы управляете:

hostnamectl set-hostname server.example.com

Чтобы имя разрешалось локально, добавьте в /etc/hosts строку с публичным IP. В Debian и Ubuntu замените строку 127.0.1.1, если в ней все еще указано старое имя:

203.0.113.10   server.example.com   server

У своего DNS-провайдера создайте соответствующую запись A (и AAAA для IPv6), а затем задайте то же имя в обратной DNS-записи сервера. Это важно, как только сервер начинает отправлять почту.

UTC — самый практичный часовой пояс для серверов: журналы с разных машин совпадают по времени без пересчета. Установите его и проверьте, что часы синхронизированы:

timedatectl set-timezone UTC
timedatectl

Найдите строку System clock synchronized: yes. Если вы предпочитаете местное время, команда timedatectl list-timezones выведет список названий, например Europe/Amsterdam.

Создание пользователя с правами sudo и добавление SSH-ключа

Если постоянно работать под root, любая опечатка затрагивает всю систему. Создайте личную учетную запись с правами sudo — здесь она называется deploy.

Ubuntu и Debian (в минимальных образах Debian сначала может понадобиться apt install -y sudo):

adduser deploy
usermod -aG sudo deploy

AlmaLinux и Rocky Linux

useradd -m -G wheel deploy
passwd deploy

Затем добавьте в учетную запись свой SSH-ключ. Если root уже принимает ваш ключ, скопируйте его файл authorized_keys с правильным владельцем и правами доступа:

install -d -m 700 -o deploy -g deploy /home/deploy/.ssh
install -m 600 -o deploy -g deploy /root/.ssh/authorized_keys /home/deploy/.ssh/authorized_keys

В AlmaLinux и Rocky Linux также выполните restorecon -R /home/deploy/.ssh, чтобы метки SELinux были правильными. Еще нет ключа? Создайте его и установите командой ssh-copy-id, как описано в руководстве Вход по SSH-ключам.

Проверьте вход из второго терминала, не закрывая первый:

ssh deploy@203.0.113.10
sudo whoami

Последняя команда должна вывести root. Когда вход по ключу для вашего пользователя заработает, можно отключить аутентификацию SSH по паролю; в руководстве по SSH-ключам показано, как сделать это, не лишившись доступа.

Включение базового файрвола

DediJet фильтрует DDoS-атаки сетевого уровня выше по сети, еще до того как они достигнут вашего порта. Но не это определяет, какие из ваших сервисов доступны, — это делает файрвол на самом сервере. Сначала разрешите SSH, а затем открывайте порты по мере добавления сервисов.

Ubuntu и Debian: ufw

В Ubuntu ufw предустановлен. В Debian установите его командой apt install -y ufw. Затем выполните:

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable
ufw status verbose

Когда ufw enable предупредит о существующих подключениях, ответьте y: ваша сессия не прервется, потому что SSH разрешен. Другие порты открываются так же, например ufw allow 80,443/tcp для веб-сервера. Правила действуют и для IPv4, и для IPv6.

AlmaLinux и Rocky Linux: firewalld

dnf install -y firewalld
systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload
firewall-cmd --list-all

Добавляйте сервисы командой firewall-cmd --permanent --add-service=https или порты командой --add-port=25565/tcp, затем выполните firewall-cmd --reload. Если --list-all показывает сервисы, которыми вы не пользуетесь, например cockpit, удалите их командой --remove-service.

Проверка оборудования

Убедитесь, что сервер соответствует заказу, а его диски исправны:

lscpu | grep -E 'Model name|Socket|Core|Thread'
free -h
lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINT
ip -br address

lscpu показывает модель процессора, количество ядер и потоков; free -h — объем памяти (чуть меньше номинального, потому что часть резервируют прошивка и ядро); lsblk — диски и разделы; ip -br address — ваши адреса IPv4 и IPv6.

На серверах с двумя дисками по умолчанию настроен программный RAID 1: оба диска хранят одни и те же данные, поэтому при отказе одного из них сервер продолжит работать. Проверьте массив:

cat /proc/mdstat

md1 : active raid1 nvme1n1p3[1] nvme0n1p3[0]
      974452736 blocks super 1.2 [2/2] [UU]

md0 : active raid1 nvme1n1p2[1] nvme0n1p2[0]
      1046528 blocks super 1.2 [2/2] [UU]

[2/2] [UU] означает, что оба участника массива на месте и синхронизированы. Имена массивов, разделы и размеры на разных серверах различаются. Строка resync с индикатором прогресса означает, что зеркало еще синхронизируется в фоновом режиме; пользоваться сервером в это время можно в полной мере. Подчеркивание вместо U, как в [U_], означает, что диск отсутствует или вышел из строя: прочитайте руководства Программный RAID и Состояние дисков, а затем создайте тикет.

Следующие шаги

Сервер обновлен, доступен под вашей учетной записью и защищен файрволом: взлет разрешен. Что дальше:

• Перейдите на вход только по SSH-ключам и отключите вход по паролю.
• Усильте защиту сервера, прежде чем открывать доступ к сервисам.
• Проверьте или расширьте настройку IPv6.
• Протестируйте производительность сервера, чтобы получить исходные показатели для будущих сравнений.
• Держите под рукой руководства по консоли IPMI и режиму восстановления: они помогут вернуть доступ, если что-то сломается.

Что-то выглядит не так? Наши инженеры отвечают на тикеты 24/7: см. раздел Поддержка.