Linux-Kurs / Einen neuen Linux-Server sicher einrichten
Bereiten Sie einen neuen Server vor, indem Sie den Wiederherstellungszugang einrichten, ein normales Administratorkonto und den SSH-Schlüssel validieren und anschließend Updates, Zeit, erforderliche Ports und das Neustartverhalten überprüfen. Abschluss bedeutet, dass der erforderliche Zugang und die Dienste in einer neuen Sitzung sowie nach einem geplanten Neustart weiterhin funktionieren.
Nach der Kontoerstellung und der anfänglichen Konfiguration öffnen Sie einen neuen SSH-Schlüssel-Login und überprüfen die Berechtigungen, bevor Sie Firewall- und Kontoschutz anwenden. Behalten Sie während der Überprüfung den Konsolenzugang und die ursprüngliche Sitzung bei.
Systemkonfigurationsübungen verwenden eine herkömmliche Ubuntu 26.04 LTS oder Rocky Linux 9 VM als Referenzumgebung. Container, WSL und andere Versionen können sich in Dienst- und Paketkonfiguration unterscheiden. Bereiten Sie die Konsolenwiederherstellung vor und zeichnen Sie Ihre Versionen mit der virtuellen Maschinen-Einrichtungslektion auf.
Bestätigen Sie den Server und seinen Wiederherstellungskanal
Verwenden Sie eine neue VM oder einen Testserver und wählen Sie entweder Ubuntu oder Rocky Linux. Stellen Sie Administratorrechte, Konsolenzugang und ein Backup- oder Wiederherstellungsverfahren her. Snapshots können das Zurücksetzen vereinfachen, lösen jedoch nicht automatisch Probleme mit gemeinsam genutztem Speicher oder Anwendungs-Konsistenz.
cat /etc/os-release hostnamectl ip -brief address ip route timedatectl lsblk -f
Notieren Sie die Verteilung, den Hostnamen, die Adressen, die Zeitzone und den Speicher, um zu bestätigen, dass Sie sich auf der vorgesehenen Maschine befinden. Kopieren Sie Geräte-, Service- oder Adressnamen nicht blind aus einem anderen Labor. Überprüfen Sie bei Cloud-Images das Anfangskonto und alle von cloud-init verwalteten Einstellungen.
Erstellen Sie ein normales Administratorkonto oder überprüfen Sie dessen Vorhandensein
Verwenden Sie ein geeignetes vorhandenes Administratorkonto erneut. Wenn Sie courseadmin erstellen, überprüfen Sie zuerst, dass es nicht bereits mit getent passwd courseadmin existiert. Verwenden Sie nur den Block für Ihre Distribution. Geben Sie Passwörter interaktiv ein, anstatt sie in Befehlen zu hinterlegen.
sudo adduser courseadmin sudo usermod -aG sudo courseadmin
sudo useradd -m courseadmin sudo passwd courseadmin sudo usermod -aG wheel courseadmin
Melden Sie sich von einem neuen Terminal an und überprüfen Sie id und sudo -v. Ergänzende Gruppen werden in einer bestehenden Sitzung möglicherweise nicht aktualisiert. Wenn Änderungen an sudoers erforderlich sind, verwenden Sie die visudo-Validierung und bewahren Sie die aktuelle Administratorsitzung auf. Fügen Sie keine uneingeschränkte kennwortlose Administration nur der Bequemlichkeit halber hinzu.
Validieren Sie SSH-Schlüssel über eine zweite Verbindung
Wählen Sie auf dem Client einen genehmigten Schlüssel oder erstellen Sie einen neuen und überprüfen Sie den Fingerabdruck des Server-Host-Schlüssels über die vertrauenswürdige Konsole. Installieren Sie nur den öffentlichen Schlüssel und testen Sie eine separate Verbindung mit dem tatsächlichen Konto und der Adresse. Bestätigen Sie sudo über diese Verbindung, bevor Sie Firewall- oder Authentifizierungsrichtlinien einschränken.
Überprüfen Sie den tatsächlichen SSH-Listener und alle Cloud-Zugriffsregeln. Beschränken Sie Passwörter nur nach der Validierung der Key-Authentifizierung und Wiederherstellung, prüfen Sie dann die sshd-Syntax und führen Sie eine frische Anmeldung durch. Eine bestehende überlebende Verbindung und eine zugelassene neue Verbindung sind getrennte Tests.
Wenden Sie geplante Updates an und überprüfen Sie Zeit und Identität
sudo apt update sudo apt upgrade
sudo dnf upgrade
Führen Sie nur den zutreffenden Update-Block aus und überprüfen Sie die vorgeschlagene Transaktion. Prüfen Sie Dienstneustarts, Kerneländerungen und Neustartanforderungen und testen Sie anschließend die benötigten Funktionen erneut. Überprüfen Sie die Zeitzone und die Synchronisation mit timedatectl und wählen Sie eine tatsächliche IANA-Zeitzone gemäß der Betriebspolitik aus, falls eine Änderung erforderlich ist.
Wenn Sie den Host mit hostnamectl umbenennen, überprüfen Sie DNS-, Hosts-Einträge, Zertifikate und Management-Integrationen. Prüfen Sie, ob cloud-init oder ein anderes Bereitstellungssystem den Wert überschreibt. Das Aktivieren der Zeitsynchronisation beweist nicht die erfolgreiche Synchronisation, wenn der Zugriff auf den Zeitserver blockiert ist.
Begrenzen Sie die Exposition und speichern Sie eine Basislinie
Überprüfen Sie die tatsächlich verwendete Firewall, typischerweise UFW unter Ubuntu oder firewalld unter Rocky Linux. Erlauben Sie den verifizierten Verwaltungsport und testen Sie eine neue Verbindung, bevor Sie nur die erforderlichen Dienste hinzufügen. Überprüfen Sie IPv4 und IPv6 sowie sowohl die Host- als auch die Cloud-Richtlinie; deaktivieren Sie SELinux nicht, ohne das eigentliche Problem zu diagnostizieren.
mkdir -p "$HOME/server-baseline" chmod 700 "$HOME/server-baseline" cat /etc/os-release > "$HOME/server-baseline/os-release.txt" ip -brief address > "$HOME/server-baseline/addresses.txt" lsblk -f > "$HOME/server-baseline/storage.txt" systemctl --failed > "$HOME/server-baseline/failed-units.txt"
Diese Dateien bieten eine Vergleichsbasis ohne Passwörter, private Schlüssel oder Tokens. Adressen und Speicherstruktur sind weiterhin Betriebsinformationen, daher den Zugriff einschränken. Konfigurationssicherungen getrennt aufbewahren und dokumentieren, wie autorisiertes Wiederherstellungspersonal sie abrufen kann.
Überprüfen Sie die Einsatzbereitschaft nach einem geplanten Neustart
- Wählen Sie ein Unterbrechungsfenster, überprüfen Sie den Konsolenzugang und speichern Sie die benötigten Daten.
- Führen Sie einen geplanten sudo-Neustart durch und überprüfen Sie den Bootvorgang über die Konsole.
- Testen Sie eine neue SSH-Sitzung, sudo, das Netzwerk, die Zeitsynchronisierung, erforderliche Dienste und Mounts.
- Überprüfen Sie fehlgeschlagene Einheiten und die Logs des aktuellen Boots im Vergleich zur Basislinie.
Wenn die Wiederverbindung fehlschlägt, verwenden Sie die Konsole, um die Adresse, den SSH-Dienst, den Listener und die Firewall in dieser Reihenfolge zu überprüfen. Stellen Sie gemäß der letzten Änderung wieder her, anstatt mehrere spekulative Änderungen vorzunehmen. Fahren Sie mit der Anwendungsinstallation nur fort, nachdem der Verwaltungszugang überprüft wurde.
