Lista kontrolna po instalacji Linuksa: wstępna konfiguracja serwera

Poziom: Początkujący / Średniozaawansowany
Szacowany czas: ~40 minut
Cel: Wykonanie niezbędnej wstępnej konfiguracji serwera VPS z Linuksem — zabezpieczenie dostępu SSH, utworzenie użytkownika sudo, skonfigurowanie zapory sieciowej, włączenie automatycznych aktualizacji zabezpieczeń oraz zaplanowanie podstawowych zadań konserwacyjnych za pomocą crona.

Wprowadzenie

Pierwsze 30 minut po uruchomieniu VPS-a to najważniejszy moment. Świeżo zainstalowany serwer Linux jest szeroko otwarty: logowanie jako root przez SSH jest zwykle włączone, nie ma żadnych reguł zapory sieciowej, a pakiety są już nieaktualne. Ta lista kontrolna po instalacji Linuksa obejmuje wszystkie istotne kroki potrzebne do przygotowania środowiska gotowego do produkcji lub środowiska deweloperskiego — od utworzenia użytkownika sudo i skonfigurowania uwierzytelniania kluczem SSH, po włączenie UFW i zaplanowanie automatycznych aktualizacji zabezpieczeń. Jednorazowe wykonanie tego przewodnika chroni Cię przed najczęstszymi wektorami ataków, zanim wdrożysz cokolwiek na serwerze.

Ten przewodnik obejmuje instancje VPS z Ubuntu, Debianem i AlmaLinuksem (kompatybilnym z RHEL).

Wymagania wstępne

Przed rozpoczęciem upewnij się, że spełnione są następujące warunki:

• System operacyjny: Ubuntu 20.04/22.04/24.04 LTS, Debian 11/12/13 lub AlmaLinux 8/9/10
• Dostęp: dostęp SSH jako root do serwera (hasło lub klucz — zabezpieczysz go w trakcie przewodnika)
• Komputer lokalny: dostępny klient SSH (ssh w systemach Linux/macOS, PuTTY lub Windows Terminal w Windows)
• Wymagana wiedza: podstawowa obsługa wiersza poleceń Linuksa — poruszanie się po katalogach, edytowanie plików za pomocą nano
• Szacowany czas: ~40 minut na pierwsze czyste uruchomienie

Krok 1: Ustaw nazwę hosta serwera

Prawidłowa nazwa hosta sprawia, że logi są czytelne i zapobiega pomyłkom podczas zarządzania wieloma serwerami.

Najpierw zaktualizuj plik /etc/hosts, aby system mógł lokalnie rozwiązywać swoją nową nazwę hosta. Otwórz plik:

sudo nano /etc/hosts

Dodaj lub zaktualizuj linię dla 127.0.1.1 (lub 127.0.0.1, jeśli 127.0.1.1 nie istnieje), aby pasowała do nowej nazwy hosta. Na przykład, jeśli planujesz użyć web-01:

127.0.1.1   web-01

Zapisz i wyjdź (Ctrl+O, Enter, Ctrl+X).

Następnie ustaw nazwę hosta globalnie za pomocą hostnamectl:

sudo hostnamectl set-hostname <YOUR_HOSTNAME>

Sprawdź, czy zmiana została zastosowana:

hostnamectl

Oczekiwany wynik:

Static hostname: web-01
       Icon name: computer-vm
         Chassis: vm
      Machine ID: a1b2c3d4e5f6...
         Boot ID: ...
Operating System: Ubuntu 24.04.1 LTS
          Kernel: Linux 6.8.0-31-generic
    Architecture: x86-64

Krok 2: Zaktualizuj wszystkie pakiety

Natychmiast wykonaj pełną aktualizację systemu. Pakiety dostarczane ze świeżym obrazem VPS są niemal zawsze nieaktualne.

Ubuntu/Debian (APT):

sudo apt update && sudo apt upgrade -y

AlmaLinux/RHEL (DNF):

sudo dnf update -y

Po zakończeniu aktualizacji sprawdź, czy wymagany jest restart.

Debian/Ubuntu:

cat /var/run/reboot-required 2>/dev/null && echo "Reboot required" || echo "No reboot needed"

AlmaLinux/RHEL:

sudo dnf install -y dnf-utils
needs-restarting -r

Jeśli restart jest wymagany, uruchom go teraz, zanim przejdziesz dalej — niektóre aktualizacje jądra i bibliotek zaczynają działać dopiero po restarcie:

sudo reboot

Krok 3: Utwórz użytkownika sudo

Logowanie się jako root do codziennej pracy jest niebezpieczne i stanowi złą praktykę. Utwórz zwykłego użytkownika i nadaj mu uprawnienia sudo.

3.1 Dodaj użytkownika

sudo adduser <YOUR_USERNAME>

W Ubuntu/Debianie polecenie poprosi o ustawienie hasła i wypełnienie opcjonalnych pól kontaktowych. Wpisz hasło; resztę pomiń, naciskając Enter.

W AlmaLinuksie/RHEL adduser jest dowiązaniem symbolicznym do useradd i działa nieinteraktywnie, bez pytania o hasło, pozostawiając konto zablokowane. Musisz ustawić hasło ręcznie:

sudo passwd <YOUR_USERNAME>

3.2 Nadaj uprawnienia sudo

Ubuntu/Debian — dodaj użytkownika do grupy sudo:

sudo usermod -aG sudo <YOUR_USERNAME>

AlmaLinux/RHEL — dodaj użytkownika do grupy wheel:

sudo usermod -aG wheel <YOUR_USERNAME>

3.3 Zweryfikuj dostęp

Przełącz się na nowego użytkownika i przetestuj sudo:

su - <YOUR_USERNAME>
sudo whoami

Oczekiwany wynik:

root

Jeśli widzisz root, użytkownik ma działające uprawnienia sudo. Możesz teraz wylogować się z sesji roota:

exit

Krok 4: Skonfiguruj uwierzytelnianie kluczem SSH

SSH oparte na haśle jest podatne na ataki siłowe (brute-force). Uwierzytelnianie kluczem SSH zastępuje hasło parą kluczy kryptograficznych — znacznie trudniejszą do zaatakowania. To jedna z najważniejszych dobrych praktyk konfiguracji SSH, jaką możesz zastosować.

4.1 Wygeneruj parę kluczy SSH (na komputerze lokalnym)

Jeśli nie masz jeszcze pary kluczy SSH, wygeneruj ją na swoim komputerze lokalnym (nie na serwerze):

ssh-keygen -t ed25519 -C "<YOUR_USERNAME>@<YOUR_HOSTNAME>"

Zaakceptuj domyślną lokalizację pliku. Po wyświetleniu monitu ustaw frazę hasła (passphrase) — chroni ona klucz w razie kompromitacji komputera lokalnego.

4.2 Skopiuj klucz publiczny na serwer

Z komputera lokalnego skopiuj klucz na konto nowego użytkownika:

ssh-copy-id <YOUR_USERNAME>@<YOUR_SERVER_IP>

Jeśli ssh-copy-id nie jest dostępne (np. w Windows), ręcznie skopiuj zawartość pliku ~/.ssh/id_ed25519.pub i dodaj ją na końcu pliku ~/.ssh/authorized_keys na serwerze.

4.3 Przetestuj logowanie za pomocą klucza

Otwórz nowe okno terminala (nie zamykaj jeszcze bieżącej sesji) i przetestuj logowanie:

ssh <YOUR_USERNAME>@<YOUR_SERVER_IP>

Powinieneś zalogować się bez pytania o hasło (jedynie o frazę hasła klucza, jeśli ją ustawiono).

Krok 5: Zabezpiecz konfigurację SSH i wyłącz logowanie roota

Po potwierdzeniu logowania kluczem (krok 4) zablokuj demona SSH. Wyłączenie logowania roota i uwierzytelniania hasłem przez SSH to jeden z najskuteczniejszych kroków w każdej liście kontrolnej zabezpieczania serwera Linux.

We wszystkich trzech dystrybucjach plik /etc/ssh/sshd_config zawiera linię Include /etc/ssh/sshd_config.d/*.conf blisko początku pliku, a SSH stosuje pierwszą znalezioną wartość dla każdego ustawienia. Pliki drop-in dostawcy są już obecne i nadpisują wszystko, co dodasz później w pliku głównym:

• Ubuntu 24.04: 50-cloud-init.conf ustawia PasswordAuthentication yes
• AlmaLinux: 50-redhat.conf ustawia X11Forwarding yes

Z tego powodu edytowanie głównego pliku sshd_config jest zawodne. Zamiast tego utwórz plik drop-in zabezpieczający o niskim numerze (00-), aby był odczytywany jako pierwszy i nadpisywał pliki dostawcy. Ten sam plik działa we wszystkich trzech dystrybucjach.

Utwórz plik drop-in:

sudo tee /etc/ssh/sshd_config.d/00-hardening.conf > /dev/null <<'EOF'
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
X11Forwarding no
EOF

Prefiks 00- gwarantuje, że ten plik zostanie przetworzony przed plikami drop-in dostawcy, takimi jak 50-cloud-init.conf i 50-redhat.conf. Ponieważ SSH stosuje zasadę „wygrywa pierwsze dopasowanie", nie musisz edytować tych plików.

Sprawdź poprawność składni konfiguracji przed ponownym uruchomieniem usługi:

sudo sshd -t

Jeśli polecenie nie zwróci żadnego wyniku, składnia jest poprawna. Teraz zweryfikuj efektywne ustawienia, których demon faktycznie użyje:

sudo sshd -T | grep -iE "permitrootlogin|passwordauthentication|x11forwarding"

Oczekiwany wynik:

permitrootlogin no
passwordauthentication no
x11forwarding no

Uruchom ponownie demona SSH, aby zastosować zmiany.

Ubuntu 24.04 (aktywacja przez gniazdo):

sudo systemctl restart ssh.socket

Debian i starsze wersje Ubuntu:

sudo systemctl restart ssh

AlmaLinux/RHEL:

sudo systemctl restart sshd

Sprawdź, czy usługa działa (użyj sshd w AlmaLinuksie, ssh.socket w Ubuntu 24.04):

sudo systemctl status ssh

Powinieneś zobaczyć Active: active (running) (lub active (listening) dla SSH aktywowanego przez gniazdo).

Teraz potwierdź, że logowanie roota jest zablokowane. Z komputera lokalnego:

ssh root@<YOUR_SERVER_IP>

Oczekiwany wynik: połączenie zostaje odrzucone komunikatem Permission denied (publickey). Logowanie roota przez SSH jest teraz wyłączone.

Krok 6: Skonfiguruj zaporę sieciową (UFW)

UFW (Uncomplicated Firewall) to standardowe narzędzie zapory sieciowej w Ubuntu i Debianie. W AlmaLinuksie domyślnym rozwiązaniem jest firewalld, ale UFW również można tam zainstalować. Ten krok obejmuje oba podejścia.

6.1 UFW (Ubuntu/Debian)

W Debianie (zwłaszcza w Debianie 13) ufw może nie być domyślnie zainstalowane. Zainstaluj je najpierw:

sudo apt update && sudo apt install -y ufw

Sprawdź bieżący stan:

sudo ufw status

Zezwól na SSH przed włączeniem zapory:

sudo ufw allow ssh

Zezwól na HTTP i HTTPS, jeśli planujesz uruchomić serwer WWW:

sudo ufw allow http
sudo ufw allow https

Włącz zaporę:

sudo ufw enable

Zweryfikuj aktywne reguły:

sudo ufw status verbose

Oczekiwany wynik:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere

6.2 Firewalld (AlmaLinux/RHEL)

Włącz i uruchom firewalld:

sudo systemctl enable --now firewalld

Zezwól na SSH, HTTP i HTTPS:

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Zweryfikuj:

sudo firewall-cmd --list-all

Krok 7: Zsynchronizuj zegar systemowy (NTP)

Dokładny czas jest wymagany dla protokołów bezpieczeństwa (walidacja SSL/TLS, Kerberos), poprawnych znaczników czasowych w logach oraz zaplanowanych zadań. Niezsynchronizowany zegar może powodować błędy certyfikatów SSL, nieudane uwierzytelnianie i mylące wpisy w logach.

Sprawdź bieżący stan synchronizacji:

timedatectl status

Oczekiwany wynik:

System clock synchronized: yes
NTP service: active

Jeśli usługa NTP jest nieaktywna lub pokazuje n/a, zainstaluj i włącz chrony — zalecany demon NTP dla serwerów produkcyjnych:

Ubuntu/Debian:

sudo apt install chrony -y
sudo systemctl enable --now chrony

AlmaLinux/RHEL:

sudo dnf install chrony -y
sudo systemctl enable --now chronyd

Poczekaj 30–60 sekund po uruchomieniu usługi, a następnie zweryfikuj, czy synchronizacja jest aktywna:

chronyc tracking

Poszukaj Leap status: Normal. To potwierdza, że zegar systemowy jest zsynchronizowany, a NTP działa poprawnie.

Krok 8: Włącz automatyczne aktualizacje zabezpieczeń

Ręczne aktualizacje działają, ale zależą od tego, czy pamiętasz o ich wykonywaniu. Automatyczne aktualizacje zabezpieczeń są siatką bezpieczeństwa — szczególnie ważną w przypadku instancji VPS pozostawionych bez nadzoru. Oto jak skonfigurować automatyczne aktualizacje zabezpieczeń w Linuksie bez wpływu na stabilność systemu.

8.1 Ubuntu/Debian — unattended-upgrades

Zainstaluj pakiet:

sudo apt install unattended-upgrades -y

Włącz i skonfiguruj go:

sudo dpkg-reconfigure --priority=low unattended-upgrades

Zweryfikuj konfigurację:

cat /etc/apt/apt.conf.d/20auto-upgrades

Oczekiwany wynik:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Aby przetestować bez wprowadzania zmian:

sudo unattended-upgrade --dry-run --debug

8.2 AlmaLinux/RHEL — dnf-automatic

Zainstaluj:

sudo dnf install dnf-automatic -y

Otwórz plik konfiguracyjny i ustaw typ aktualizacji na wyłącznie zabezpieczenia. Najpierw wykonaj kopię zapasową:

sudo cp /etc/dnf/automatic.conf /etc/dnf/automatic.conf.bak
sudo nano /etc/dnf/automatic.conf

Znajdź i ustaw:

apply_updates = yes
upgrade_type = security

Włącz i uruchom timer:

sudo systemctl enable --now dnf-automatic.timer

Zweryfikuj:

sudo systemctl status dnf-automatic.timer

Krok 9: Zaplanuj podstawową konserwację za pomocą Crona

Cron obsługuje zaplanowane zadania — czynności, które muszą odbywać się regularnie bez ręcznej interwencji. Proste zadanie crona do czyszczenia logów lub sprawdzania odnowienia certyfikatów to standardowa praktyka na każdym zarządzanym serwerze.

Przygotowanie dla AlmaLinuksa/RHEL:

Na czystym systemie AlmaLinux 10 nano może nie być zainstalowane, a crontab -e otworzy vi. Aby zamiast tego użyć nano, uruchom tę pojedynczą linię, aby wykonać ją poprawnie w sekwencji i zapewnić, że zmienna środowiskowa się utrzyma:

sudo dnf install nano -y && export EDITOR=nano && crontab -e

W innych systemach (jak Ubuntu/Debian) po prostu otwórz crontab bieżącego użytkownika:

crontab -e

Przy pierwszym uruchomieniu (w Ubuntu/Debianie) zostaniesz poproszony o wybór edytora. Wybierz nano (opcja 1).

Typowe przykłady zadań crona

Uruchamianie zadania każdej nocy o 2:00:

0 2 * * * /usr/local/bin/my-maintenance-script.sh >> /var/log/maintenance.log 2>&1

Cotygodniowe odnawianie certyfikatów SSL (dla użytkowników Certbota):

0 3 * * 0 certbot renew --quiet >> /var/log/certbot-renew.log 2>&1

Comiesięczne usuwanie plików tymczasowych:

0 4 1 * * find /tmp -type f -atime +30 -delete

Zweryfikuj, czy Twoje zadania crona są zarejestrowane:

crontab -l

Powinieneś zobaczyć dodane przez siebie wpisy. Cron automatycznie odczytuje plik — nie jest wymagane ponowne wczytanie. Aby sprawdzić, czy usługa crona działa, użyj:

Ubuntu/Debian:

sudo systemctl status cron

AlmaLinux/RHEL:

sudo systemctl status crond

Weryfikacja

Przejrzyj tę listę kontrolną, aby potwierdzić, że wszystko zostało poprawnie zastosowane:

Sprawdź nazwę hosta:

hostnamectl | grep hostname

Potwierdź, że logowanie SSH jako root oraz uwierzytelnianie hasłem są wyłączone (sprawdza to aktywną konfigurację działającą w czasie rzeczywistym):

sudo sshd -T | grep -iE "permitrootlogin|passwordauthentication"

Oczekiwane:

permitrootlogin no
passwordauthentication no

Potwierdź, że usługa SSH działa:

# Dla Ubuntu 24.04:
sudo systemctl status ssh.socket

# Dla Debiana / starszego Ubuntu:
sudo systemctl status ssh

# Dla AlmaLinuksa:
sudo systemctl status sshd

Sprawdź stan zapory sieciowej (Ubuntu/Debian):

sudo ufw status verbose

Sprawdź synchronizację NTP:

timedatectl status | grep -E "synchronized|NTP"

Oczekiwane:

System clock synchronized: yes
NTP service: active

Sprawdź automatyczne aktualizacje (Ubuntu/Debian):

cat /etc/apt/apt.conf.d/20auto-upgrades

Wyświetl listę aktywnych zadań crona:

crontab -l

Wycofanie zmian

Aby cofnąć konkretne kroki, jeśli coś poszło nie tak:

Ponownie włącz logowanie SSH jako root (jeśli zablokowałeś sobie dostęp i odzyskujesz go przez konsolę):

# Tymczasowo przywróć logowanie root/hasło w celu odzyskania dostępu
sudo rm /etc/ssh/sshd_config.d/00-hardening.conf
sudo sshd -t

# Uruchom ponownie SSH (użyj wariantu odpowiedniego dla Twojego systemu):
sudo systemctl restart ssh.socket   # Ubuntu 24.04
sudo systemctl restart ssh          # Debian / starsze Ubuntu
sudo systemctl restart sshd         # AlmaLinux/RHEL

Wyłącz UFW:

sudo ufw disable

Usuń unattended-upgrades (Ubuntu/Debian):

sudo apt remove unattended-upgrades -y

Usuń dnf-automatic (AlmaLinux):

sudo systemctl disable --now dnf-automatic.timer
sudo dnf remove dnf-automatic -y

Usuń zadanie crona:

crontab -e
# Usuń odpowiednią linię, zapisz i wyjdź

Podsumowanie

To obejmuje pełną listę kontrolną po instalacji Linuksa. Masz teraz serwer z prawidłową nazwą hosta, w pełni zaktualizowanymi pakietami, użytkownikiem sudo innym niż root, skonfigurowanym uwierzytelnianiem kluczem SSH, wyłączonym logowaniem roota, skonfigurowaną zaporą sieciową, zsynchronizowanym NTP, działającymi automatycznymi aktualizacjami zabezpieczeń oraz harmonogramem zadań crona gotowym do rozbudowy. To bazowa konfiguracja serwera Linux po instalacji, jaką powinien mieć każdy VPS, zanim wdrożysz na nim cokolwiek innego.

Od tego momentu logiczne kolejne kroki zależą od przeznaczenia serwera:

• Serwer WWW: zainstaluj Nginx lub Apache, skonfiguruj wirtualnego hosta i skonfiguruj SSL za pomocą Certbota
• Baza danych: zainstaluj i zabezpiecz MySQL/MariaDB lub PostgreSQL
• Monitorowanie: skonfiguruj agregację logów (np. logrotate) lub lekkiego agenta monitorującego
• Kontrola dostępu: przejrzyj konfigurację sudoers i dodaj członków zespołu, stosując ten sam wzorzec co w kroku 3

Lista kontrolna wstępnej konfiguracji serwera Linux nie kończy się tutaj — ewoluuje w miarę rozwoju roli serwera. Ta baza stanowi jednak niepodlegający negocjacjom punkt wyjścia.

Wersja dokumentu: 1.0
Ostatnia aktualizacja: maj 2026
Właściciel: Zespół Dokumentacji Technicznej