Первые шаги на новом VPS: что сделать в первый час

Сервер только что выдан, в кабинете видны IP и пароль root. Если сразу начать ставить на него сайт или бота, через пару недель окажется, что на нём уже кто-то живёт: боты сканируют весь IPv4-диапазон непрерывно и первые попытки подбора пароля прилетают через минуты после включения. Поэтому сначала делаем базовую настройку, и только потом всё остальное.

Ниже план на 20 минут. Команды для Ubuntu 24.04 и Debian 12/13, на других версиях отличия минимальны.

Какую ОС выбрать

Если нет особых требований — последняя LTS-версия Ubuntu или стабильный Debian. У них самые свежие пакеты в репозиториях, больше всего инструкций в интернете и пять лет обновлений безопасности. Выбирайте ОС при заказе сервера; если сервер уже есть, образ можно сменить переустановкой из кабинета.

Переустановка стирает диск. Все данные на сервере удаляются без возможности восстановления. Перед переустановкой заберите с сервера всё нужное.

1. Подключитесь по SSH

На macOS и Linux откройте Терминал, на Windows 10/11 — PowerShell или Windows Terminal. Команда везде одинаковая:

ssh root@IP_СЕРВЕРА

При первом подключении SSH спросит, доверять ли отпечатку сервера — ответьте yes. Затем вставьте пароль: при вводе он не отображается, это нормально.

Подробнее про клиенты, Windows и типовые ошибки подключения — в статье Подключение к серверу по SSH.

2. Обновите систему

Образ, из которого разворачивается сервер, собран не вчера. Первое действие — установить все накопившиеся обновления:

apt update && apt upgrade -y

Если среди обновлений было ядро, перезагрузите сервер командой reboot и через минуту подключитесь снова.

3. Создайте пользователя вместо root

Работать под root каждый день неудобно и опасно: одна опечатка в rm — и сервера нет. Создайте обычного пользователя и дайте ему право запускать команды через sudo:

adduser admin
usermod -aG sudo admin

adduser попросит придумать пароль, остальные вопросы (имя, телефон) можно пропустить, нажимая Enter. Пароль пригодится для sudo, для входа по SSH мы его скоро отключим.

Проверьте в новом окне терминала:

ssh admin@IP_СЕРВЕРА
sudo whoami

Должно вывести root.

4. Включите брандмауэр

На Ubuntu и Debian удобнее всего UFW. Главное правило: сначала разрешить SSH, потом включать, иначе отрежете себя от сервера.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Когда поставите сайт, откройте ещё 80 и 443:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Отдельная статья: Брандмауэр UFW и firewalld.

5. Перейдите на SSH-ключи

Пароль можно подобрать, ключ — нет. Ключ создаётся на вашем компьютере, публичная половина кладётся на сервер.

На своём компьютере:

ssh-keygen -t ed25519
ssh-copy-id admin@IP_СЕРВЕРА

На Windows команды ssh-copy-id нет, там ключ копируется одной строкой в PowerShell:

type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh admin@IP_СЕРВЕРА "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

Проверьте, что ssh admin@IP_СЕРВЕРА пускает без пароля, и только после этого отключите вход по паролю и под root. Как это сделать правильно (а на Ubuntu есть подводный камень с cloud-init) — в статье Вход по SSH-ключу и запрет пароля.

6. Поставьте htop

htop — это диспетчер задач для терминала: процессор, память, список процессов, аптайм.

sudo apt install -y htop
htop

Выход — q. Когда сервер «тормозит», первым делом смотрите сюда.

Что дальше

• Автообновления безопасности — чтобы не делать apt upgrade руками.
• fail2ban — убирает ботов из логов.
• Резервные копии — до того, как они понадобятся.
• Nginx с PHP и HTTPS или Docker — когда база готова.

Если в процессе отрезали себе доступ, зайдите через консоль в кабинете tanaka.host: она работает напрямую через гипервизор и не зависит от SSH и брандмауэра.