Primo accesso e i dieci minuti successivi

Verifica prima la chiave host

Il provisioning ti invia via email un indirizzo, una password di root e l'impronta della chiave host SSH. La stessa impronta è nella pagina dell'istanza sul pannello. Confrontale prima di accettare la chiave. Se non coincidono, non digitare la password e apri un ticket.

ssh root@<ipv4>

La password che generiamo non viene conservata dal nostro lato una volta inviata la mail. Non è un motivo per continuare a usarla.

Aggiorna prima di qualsiasi altra cosa

Debian 13:

apt update && apt full-upgrade -y && apt autoremove -y

AlmaLinux 10:

dnf -y upgrade --refresh

Il riavvio serve solo se si è spostato il kernel. Su Debian needrestart te lo dice durante l'aggiornamento; su AlmaLinux, dnf needs-restarting -r risponde alla stessa domanda dopo.

Crea un account che non sia root

adduser deploy
usermod -aG sudo deploy

Su AlmaLinux il gruppo è wheel e adduser non è interattivo:

useradd -m -s /bin/bash deploy
usermod -aG wheel deploy
passwd deploy

Installa subito la tua chiave pubblica su quell'account e provala da un secondo terminale. Bloccare SSH prima che la chiave funzioni è la via più popolare verso la console fuori banda.

Indurisci sshd con un drop-in

Entrambe le immagini leggono /etc/ssh/sshd_config.d/, quindi scrivi un file tuo e lascia stare quello incluso. Gli aggiornamenti smetteranno di sovrascrivere il tuo lavoro.

cat > /etc/ssh/sshd_config.d/10-local.conf <<EOF
PermitRootLogin prohibit-password
PasswordAuthentication no
KbdInteractiveAuthentication no
AllowUsers deploy
LoginGraceTime 20
MaxAuthTries 3
EOF
sshd -t

sshd -t analizza l'intera configurazione e non stampa nulla quando è soddisfatto. Ricarica solo dopo che ha:

systemctl reload ssh    # Debian
systemctl reload sshd   # AlmaLinux

Tieni aperta la sessione corrente mentre provi la nuova. Un reload non interrompe le connessioni esistenti, che è esattamente la proprietà che vuoi quando la configurazione è sbagliata.

Cambiare porta non è hardening

Spostare sshd su una porta alta riduce il tuo log di autenticazione. Non cambia chi può raggiungere il demone. Se l'obiettivo è meno sconosciuti che bussano, limita gli indirizzi sorgente in nftables e lascia la porta dove tutta la tua tooling se l'aspetta.

Il resto dei dieci minuti

hostnamectl set-hostname edge-01
timedatectl set-timezone UTC

Poi aggiornamenti automatici di sicurezza, perché te ne dimenticherai:

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

Su AlmaLinux, installa dnf-automatic, imposta apply_updates = yes in /etc/dnf/automatic.conf e abilita il timer:

dnf install -y dnf-automatic
systemctl enable --now dnf-automatic.timer

Dopo, il firewall, il reverse DNS sul tuo indirizzo e l'IPv6 /64 instradato. Tutti e tre hanno i propri articoli nella knowledge base.