První den s Linux VPS začněte ověřením přístupu, aktualizacemi, SSH klíči a pravidly firewallu. Praktické pořadí kroků pomůže předejít ztrátě přístupu k serveru.

Nový Linux VPS je lákavé hned zaplnit webem, databází a dalšími službami. První hodinu je ale lepší věnovat základům: ověřit přístup, nainstalovat dostupné aktualizace a vymezit, kdo se k serveru smí připojit. Právě v této fázi se snadno stane nepříjemná chyba: správce zapne firewall nebo zakáže přihlašování heslem dřív, než ověří náhradní cestu, a sám se od serveru odstřihne.

Následující pořadí je určené pro VPS, které si spravujete sami, a jako konkrétní příklad používá Ubuntu Server. U jiné distribuce se může lišit správce balíčků, název služby SSH i nástroj pro firewall. U spravované služby nejdřív zjistěte, které kroky provádí poskytovatel. Pokud teprve vybíráte systém, pomůže také naše srovnání Linux a Windows VPS.

Nejdřív si zajistěte cestu zpět

Před jakoukoli změnou SSH zjistěte, zda poskytovatel nabízí webovou konzoli nebo jiný přístup nezávislý na síťovém SSH. Ověřte, že se do ní umíte přihlásit a že znáte postup obnovy hesla či systému. Poznamenejte si veřejnou IP adresu, přihlašovací účet, použitou distribuci a způsob, jak případně požádat podporu o zásah. Tyto údaje uchovávejte bezpečně; heslo ani soukromý klíč neukládejte do veřejného repozitáře.

Aktuální SSH relaci nechte po dobu změn otevřenou. Nové přihlášení vždy zkoušejte v druhém okně terminálu. Fungující staré spojení vám umožní vrátit chybnou konfiguraci, ale není úplnou zárukou: při restartu služby nebo změně sítě může zaniknout. Konzole poskytovatele je proto důležitá pojistka. Pokud server už obsahuje cenná data, ještě před většími zásahy ověřte zálohu a možnost obnovy; rozdíl mezi uloženou zálohou a vyzkoušeným postupem obnovy rozebíráme v článku o zálohách webu a VPS.

Zkontrolujte systém a aktualizujte balíčky

Po prvním přihlášení zjistěte, jaká verze systému na VPS běží, a projděte zprávy poskytovatele k dodanému obrazu. U Ubuntu lze aktualizovat seznam balíčků a nainstalovat dostupné aktualizace například příkazy sudo apt update a sudo apt upgrade. Před potvrzením si přečtěte, které balíčky se mění a zda se mají odstranit nebo restartovat důležité služby. Na produkčním serveru změnu časujte tak, aby případná krátká nedostupnost nepoškodila provoz.

Po aktualizaci ověřte stav hlavních služeb a informaci, zda systém doporučuje restart. Restart neprovádějte naslepo, pokud už na serveru něco běží. Bezpečnostní doporučení Ubuntu zdůrazňují pravidelné opravy známých zranitelností. Jednorázový update v den instalace nestačí: určete, kdo bude aktualizace sledovat a kdy se budou zavádět další.

Ubuntu Server může mít automatické bezpečnostní aktualizace prostřednictvím unattended-upgrades zapnuté již ve výchozím stavu. Nespoléhejte na předpoklad; ověřte skutečné nastavení konkrétního obrazu VPS. Podle dokumentace Ubuntu k automatickým aktualizacím lze zvlášť nastavit zdroje balíčků, interval, restart i záznamy. Automatické aktualizace snižují dobu vystavení známým chybám, ale u důležitých služeb je potřeba vědět, kdy se mohou restartovat.

Připravte běžný účet a přihlášení klíčem

Pro každodenní správu používejte běžný uživatelský účet a oprávnění správce přidělujte jen tam, kde jsou potřeba. Nejdřív ověřte, jaký účet vytvořil obraz od poskytovatele; některé obrazy už mají účet se sudo, jiné začínají účtem root. Ubuntu doporučuje princip nejmenších oprávnění, tedy nepoužívat root pro běžnou práci a udělovat jen nezbytné pravomoci.

Na svém počítači vytvořte dvojici SSH klíčů, pokud ji ještě nemáte. Dokumentace Ubuntu uvádí například ssh-keygen -t ed25519. Soukromý klíč zůstává u vás; na server se předává pouze veřejná část. Pro nahrání veřejného klíče může posloužit ssh-copy-id uzivatel@server, případně postup poskytovatele při vytvoření VPS. Klíč chraňte přístupovou frází a zálohujte bezpečně. Pokud spravuje server více lidí, dejte každému vlastní účet a klíč; sdílený soukromý klíč komplikuje odebrání přístupu.

Otevřete druhý terminál a zkuste nové přihlášení. Následně ověřte, že nový uživatel dokáže vykonat nezbytné administrační úkony. Až poté zvažujte vypnutí přihlašování heslem nebo omezení přístupu roota. Tato změna není povinný univerzální příkaz: závisí na tom, jak máte nastavenou konzoli, automatizaci, nouzový přístup a konfiguraci služby. U změn OpenSSH nejprve uložte kopii původního nastavení.

Oficiální návod k OpenSSH na Ubuntu upozorňuje, že chybné nastavení může při restartu služby zabránit dalšímu přihlášení. Před restartem proto spusťte kontrolu syntaxe sudo sshd -t; pokud vypíše chybu, opravte ji. Po restartu služby znovu vyzkoušejte nový SSH přístup z druhého okna a původní relaci ukončete až nakonec.

Firewall zapínejte až po povolení SSH

Firewall na samotném VPS omezuje příchozí spojení na potřebné služby. Před jeho zapnutím zjistěte, který port používá SSH a zda máte nastavená pravidla i v rozhraní poskytovatele. Dvě vrstvy pravidel se mohou doplňovat, ale pokud jedna z nich blokuje váš přístup, druhá jej nezachrání. Sepište porty, které opravdu potřebujete: pro web bývají relevantní HTTP a HTTPS, další služby otevírejte jen podle skutečného nasazení.

Na Ubuntu je běžným jednoduchým nástrojem ufw. Je-li SSH na standardním portu, postup může začít sudo ufw allow 22/tcp; poté zkontrolujte pravidla příkazem sudo ufw status verbose a teprve následně spusťte sudo ufw enable. Pokud SSH používá jiný port nebo je přístup omezen na konkrétní IP adresy, pravidlo tomu musíte přizpůsobit. Dokumentace firewallu Ubuntu ukazuje pravidla pro konkrétní port i zdrojovou adresu a možnost zobrazit stav.

Po zapnutí firewallu otevřete další nové SSH spojení a ověřte dostupnost plánovaných služeb zvenčí. Nepředpokládejte, že výpis povolených pravidel automaticky znamená funkční spojení: může zasahovat síťový firewall poskytovatele, směrování nebo chybně zvolená adresa. Když se přihlášení nepodaří, použijte stále otevřenou relaci či konzoli, zjistěte příčinu a pravidla opravte. Náhodné otevírání všech portů problém sice může na chvíli zakrýt, ale zruší smysl ochrany.

Dokončete základní provozní kontrolu

První den si vytvořte krátký záznam o tom, kdo má přístup, odkud je možné se přihlásit, které porty jsou otevřené a jak se server aktualizuje. Zkontrolujte čas a časové pásmo systému, volné místo na disku a stav služeb po případném restartu. Nastavte upozornění na nedostupnost a spotřebu zdrojů, aby se o problému nedozvěděl jako první návštěvník webu.

Současně si ujasněte odpovědnost za zálohy. Snapshot VPS může pomoci s rychlým návratem, ale nemusí nahrazovat nezávislou zálohu důležitých dat. Obnova je užitečná až tehdy, když znáte postup a máte ověřeno, že záložní data skutečně obsahují to, co potřebujete. Než na server umístíte produkční web, zkuste v bezpečném prostředí alespoň jednu obnovu a poznamenejte si, jak dlouho trvala.

Závěrečná kontrola prvního dne je jednoduchá: aktualizace proběhly, nový účet se přihlásí klíčem, původní přístup je stále dohledatelný pro obnovu, SSH je povolené ve firewallu a nepotřebné porty zůstávají zavřené. Tento základ z VPS neudělá automaticky bezpečný server, ale podstatně usnadní další správu. Při výběru služby a rozsahu podpory můžete vycházet z našeho přehledu VPS; konkrétní možnosti konzole a záloh si vždy potvrďte u vybraného poskytovatele.

Zdroje