تسجيل الدخول الأول، والعشر دقائق التالية

تحقق من بصمة مفتاح المضيف أولاً

يرسل لك التزويد بريدًا إلكترونيًا يتضمن عنوانًا وكلمة مرور الجذر وبصمة مفتاح SSH للمضيف. نفس البصمة موجودة في صفحة المثيل في اللوحة. قارن بينهما قبل قبول المفتاح. إذا اختلفا، لا تكتب كلمة المرور وافتح تذكرة.

ssh root@<ipv4>

كلمة المرور التي ننشئها لا نحتفظ بها في جانبنا بمجرد إرسال البريد. وهذا ليس سببًا للاستمرار في استخدامها.

طبّق التحديثات قبل أي شيء آخر

ديبيان 13:

apt update && apt full-upgrade -y && apt autoremove -y

AlmaLinux 10:

dnf -y upgrade --refresh

إعادة التشغيل مطلوبة فقط إذا تحركت النواة. على ديبيان، يخبرك needrestart أثناء الترقية؛ وعلى AlmaLinux، يجيب dnf needs-restarting -r على نفس السؤال بعد ذلك.

أنشئ حسابًا ليس root

adduser deploy
usermod -aG sudo deploy

على AlmaLinux، المجموعة هي wheel وadduser غير تفاعلي:

useradd -m -s /bin/bash deploy
usermod -aG wheel deploy
passwd deploy

ثبّت مفتاحك العام على هذا الحساب الآن واختبره من طرفية ثانية. قفل SSH قبل أن يعمل المفتاح هو الطريق الأكثر شيوعًا إلى وحدة التحكم خارج النطاق.

شدّد sshd بملف drop-in

تقرأ كلتا الصورتين /etc/ssh/sshd_config.d/، لذا اكتب ملفك الخاص واترك الملف المرفق وشأنه. عندها تتوقف الترقيات عن الكتابة فوق عملك.

cat > /etc/ssh/sshd_config.d/10-local.conf <<EOF
PermitRootLogin prohibit-password
PasswordAuthentication no
KbdInteractiveAuthentication no
AllowUsers deploy
LoginGraceTime 20
MaxAuthTries 3
EOF
sshd -t

sshd -t يوزع التكوين كاملاً ولا يطبع شيئًا عندما يكون راضيًا. أعد التحميل فقط بعد أن ينجح:

systemctl reload ssh    # Debian
systemctl reload sshd   # AlmaLinux

أبقِ الجلسة الحالية مفتوحة أثناء اختبار الجلسة الجديدة. إعادة التحميل لا تسقط الاتصالات الموجودة، وهي الخاصية التي تريدها بالضبط عندما يكون التكوين خاطئًا.

تغيير المنفذ ليس تحصينًا

نقل sshd إلى منفذ مرتفع يقلل من سجل المصادقة. لا يغير من يمكنه الوصول إلى الخفي. إذا كان الهدف هو تقليل الطرق من الغرباء، فقم بتقييد عناوين المصدر في nftables واترك المنفذ حيث تتوقعه أدواتك.

باقي الدقائق العشر

hostnamectl set-hostname edge-01
timedatectl set-timezone UTC

ثم التحديثات الأمنية غير المراقبة، لأنك ستنسى:

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

على AlmaLinux، قم بتثبيت dnf-automatic، وعيّن apply_updates = yes في /etc/dnf/automatic.conf، وفعّل المؤقت:

dnf install -y dnf-automatic
systemctl enable --now dnf-automatic.timer

بعد ذلك، جدار الحماية، وDNS العكسي على عنوانك، و IPv6 /64 الموجَّه. جميعها لها مقالات خاصة في قاعدة المعرفة.