Rocky Linux / Notas sobre SSH, Wi-Fi, política de senhas e instalação em modo texto

Alterar a porta SSH do Rocky Linux exige coordenar a configuração do SELinux, do firewall e do sshd. Estas notas também tratam de Wi-Fi, qualidade de senhas e instalação em modo texto, como tarefas independentes. SSH (Secure Shell) é o protocolo de acesso remoto; SELinux (Security-Enhanced Linux) aplica políticas de controle de acesso. Para os procedimentos completos, consulte os artigos sobre acesso SSH como root com segurança, modos do SELinux e zonas, serviços e portas do firewalld (em inglês).

Prepare o acesso antes de alterar a porta SSH

cat /etc/rocky-release
sudo sshd -T | grep -E "^(port|listenaddress) "
sudo firewall-cmd --get-active-zones
getenforce

Mantenha a conexão atual e o console disponíveis e faça backup da configuração do sshd. Confirme que a porta de exemplo 50022 não está em uso. Substitua a zona public do exemplo pela zona aplicada à interface ou à origem reais. Se o firewalld não for usado, inspecione o firewall ativo e as regras de segurança na nuvem.

Prepare as permissões do SELinux e do firewall primeiro

sudo semanage port -l | grep "^ssh_port_t"
sudo ss -lntp

Se semanage não estiver disponível, verifique o pacote policycoreutils-python-utils. Use o comando com -a abaixo somente quando o SELinux estiver ativado e 50022 for uma nova porta não registrada. Se pertencer a outro tipo, investigue o serviço existente em vez de atribuir a porta a outro tipo sem verificar seu uso.

sudo semanage port -a -t ssh_port_t -p tcp 50022
sudo firewall-cmd --zone=public --add-port=50022/tcp

Não remova a antiga permissão SSH neste estágio. Se a administração estiver restrita por rede de origem, transfira essa restrição para a nova porta em vez de usar uma permissão de porta ampla.

Aplique as configurações do sshd e teste uma nova conexão

Port 50022

Edite a configuração efetiva do sshd, considerando os arquivos incluídos e as regras Match. Não presuma que adicionar uma configuração duplicada mais tarde irá substituir o primeiro valor obtido.

sudo sshd -t && sudo systemctl reload sshd
sudo ss -lntp

De outro terminal, teste ssh -p 50022 user@server, substituindo o usuário e o servidor pelos valores reais, e as operações necessárias com sudo. Após o sucesso, adicione esta permissão à configuração permanente e inspecione tanto as regras em tempo de execução quanto as permanentes. Considere a remoção da regra da porta antiga apenas depois que o acesso e a recuperação tiverem sido verificados.

sudo firewall-cmd --permanent --zone=public --add-port=50022/tcp
sudo firewall-cmd --zone=public --list-ports
sudo firewall-cmd --permanent --zone=public --list-ports

Se a nova conexão falhar, restaure apenas esta alteração de SSH através da sessão existente ou console, valide-a com sshd -t e recarregue o serviço. Confirme o acesso na porta original antes de remover apenas as entradas de firewall e SELinux adicionadas para esta alteração. Não persista nem limpe regras de tempo de execução não relacionadas.

Manual de configuração do OpenSSH

Prepare ferramentas de Wi-Fi

nmcli device status
rpm -q NetworkManager-wifi
sudo dnf install NetworkManager-wifi

Também verifique o dispositivo, driver, firmware, bloqueio de rádio e perfil de conexão. Instalar um pacote em uma máquina virtual (VM) não cria hardware físico de Wi-Fi. Prepare a recuperação do console antes de alterar a conexão ativa de um servidor remoto.

Inspecione e ajuste a política de qualidade de senha

authselect current
sudo grep -R "pam_pwquality" /etc/pam.d/
sudo grep -R -E "^[[:space:]]*(minlen|enforcing|enforce_for_root)" /etc/security/pwquality.conf /etc/security/pwquality.conf.d/ 2>/dev/null

Primeiro, verifique se a política ativa do PAM (Pluggable Authentication Modules, módulos de autenticação) usa pwquality.conf e seus arquivos suplementares. Leia a página de manual instalada com man pwquality.conf para a semântica das opções, faça backup da configuração e depois a edite. Linhas comentadas não são configurações ativas; minlen combinado com créditos por classes de caracteres pode não equivaler a uma contagem mínima simples de caracteres. Não sobrescreva arquivos PAM gerenciados pelo authselect. Consulte a referência de pwquality.conf do projeto libpwquality.

As verificações normalmente são executadas quando as senhas são definidas ou alteradas; mudar a política não substitui automaticamente todas as senhas existentes. Teste aceitação e rejeição com uma conta de laboratório separada. Restaure apenas as configurações alteradas em caso de falha e teste novamente. Inspecione enforce_for_root juntamente com a configuração PAM efetiva para a aplicação de regras ao root.

Leia as telas do instalador em modo texto

O exemplo de referência do artigo original usa uma máquina virtual com Rocky Linux 10.1 e UEFI. Os diagramas abaixo explicam as etapas em português e não reproduzem a interface do instalador. As teclas, telas e opções variam com a imagem e o firmware; antes de alterar o armazenamento, confirme o disco, a capacidade e os dados que precisam ser preservados.

1. Selecionar a entrada de instalação. Selecione a entrada de instalação da mídia e pressione a tecla E para editar. Em mídia BIOS, siga a tecla indicada na própria tela.

2. Adicionar a opção do modo texto. Acrescente inst.text ao final da linha do kernel. Inicie com Ctrl+X ou F10, conforme as instruções da tela.

3. Ler as opções apresentadas. Se houver uma pergunta sobre o modo de instalação, leia as opções. Escolha o modo texto pelo rótulo; a numeração pode variar.

4. Revisar antes de instalar. Confira disco, capacidade, rede, contas e opções disponíveis. Confirme quais dados serão preservados antes de gravar no disco.

Não trate um número de opção, como 2, como universal. O modo texto pode oferecer menos recursos que a interface gráfica; confira se as opções de armazenamento e criptografia necessárias estão disponíveis. A documentação de opções de inicialização do Anaconda define inst.text.