Коротко о главном

Свежий сервер с доступом по паролю и открытым SSH — лёгкая цель. Базовая защита занимает меньше часа, но закрывает большинство массовых атак. Ниже — минимальный набор действий, который стоит выполнить до установки приложений.

Автоматические сканеры круглосуточно перебирают пароли и известные уязвимости. Отключение паролей,ограничение доступа и своевременные обновления снижают риск без сложных инструментов.

Этот материал — быстрый старт по Защита Linux-сервера. За 15 минут вы получите рабочую конфигурацию и поймёте, куда смотреть дальше.

Установка

В Debian, Ubuntu и Linux Mint используется пакетный менеджер APT:

sudo apt install ufw fail2ban unattended-upgrades

В Fedora и RHEL-совместимых системах пакет ставится через DNF:

sudo dnf install firewalld fail2ban

В Arch Linux и производных пакет доступен в официальных репозиториях:

sudo pacman -S ufw fail2ban

Минимальная настройка

1. Настройте SSH-ключи

Проверьте вход по ключу в отдельной сессии, затем отключите пароли и вход root. Всегда держите запасной доступ через консоль провайдера.

ssh-keygen -t ed25519 -C "admin@laptop"
ssh-copy-id user@server
sudo sshd -t
sudo systemctl reload ssh

2. Включите файрвол

Запретите входящие по умолчанию и откройте только нужные порты. Не открывайте базу данных в интернет.

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

3. Настройте fail2ban

Он блокирует адреса после серии неудачных попыток. Это не замена ключам, но снижает шум.

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

4. Включите обновления безопасности

Автоматические обновления уменьшают окно уязвимости. Проверяйте, что они не ломают сервисы.

sudo dpkg-reconfigure unattended-upgrades
sudo apt update && sudo apt upgrade

Минимальный конфиг

Начните с минимального рабочего варианта. Не копируйте большой конфиг целиком: добавляйте параметры по одному и проверяйте результат после каждого изменения.

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3

Шпаргалка по командам

  • Настройте SSH-ключи: ssh-keygen -t ed25519 -C «admin@laptop»
  • Включите файрвол: sudo ufw default deny incoming
  • Настройте fail2ban: sudo systemctl enable —now fail2ban
  • Включите обновления безопасности: sudo dpkg-reconfigure unattended-upgrades
  • Проведите аудит: ss -ltnp

Практические советы

Эти рекомендации проверены на повседневных задачах. Начните с тех, которые закрывают вашу текущую боль, а не со всего списка сразу.

Совет 1. Не работайте постоянно под root: используйте sudo и отдельного пользов

Не работайте постоянно под root: используйте sudo и отдельного пользователя.

Совет 2. Ограничьте SSH по адресам, если сервер не должен быть доступен всем.

Ограничьте SSH по адресам, если сервер не должен быть доступен всем.

Совет 3. Ведите журнал изменений конфигурации.

Ведите журнал изменений конфигурации.

Совет 4. Проверяйте бэкапы восстановлением, а не только наличием файлов.

Проверяйте бэкапы восстановлением, а не только наличием файлов.

Что дальше

Быстрый старт не означает «настроить навсегда». Когда базовый сценарий заработает, вернитесь к конфигурации и проверьте, что она переживёт перезагрузку: файлы на месте, служба включена в автозагрузку, путь к данным не зависит от текущего каталога.

Дальше имеет смысл разобраться с резервной копией и журналами Защита Linux-сервера. Это не самая заметная часть работы, но именно она превращает эксперимент в инструмент, которым можно пользоваться каждый день.

Чек-лист

  • Команды из шпаргалки выполняются без ошибок после перезагрузки.
  • Пароли и токены не хранятся в истории команд и конфигурации в открытом виде.
  • Понятно, где смотреть логи и что считать признаком проблемы.
  • Есть копия конфигурации, которую можно восстановить.

Короткие ответы на частые вопросы

Нужно ли запускать всё от root?

Нет. Права root нужны для установки пакетов и изменения системных файлов, но сама программа и её данные должны принадлежать отдельному пользователю. Постоянная работа под root превращает любую ошибку в критическую.

Что делать, если после перезагрузки ничего не работает?

Сначала проверьте, включена ли служба в автозагрузку и не изменился ли путь к конфигурации. Посмотрите журнал текущей загрузки: он почти всегда указывает на отсутствующий файл, неверные права или занятый порт.

Как обновлять без сюрпризов?

Читайте примечания к версии, делайте резервную копию конфигурации и проверяйте обновление на тестовом стенде. Не обновляйтесь в пятницу вечером перед выходными: время на откат должно быть частью плана.

Итог

Этого достаточно, чтобы начать. Дальше углубляйтесь по мере задач: документация Защита Linux-сервера станет понятнее, когда появится реальный сценарий использования.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 0 / 5. Количество оценок: 0

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте