راه اندازی اولیه سرور با CentOS 8

وقتی برای اولین بار یک سرور مجازی جدید CentOS 8 ایجاد می کنید ، چند مرحله پیکربندی وجود دارد که باید بعداً به عنوان بخشی از راه اندازی اولیه انجام دهید. این کار باعث افزایش امنیت و قابلیت استفاده سرور مجازی شما می شود و پایه و اساس محکمی را برای اقدامات بعدی به شما می دهد.
مرحله 1 – ورود به عنوان Root
برای ورود به سرور مجازی خود ، باید آدرس IP عمومی سرور مجازی خود را بدانید. به رمز عبور نیز احتیاج دارید یا اگر کلید SSH را برای تأیید اعتبار نصب کرده اید ، کلید خصوصی برای حساب کاربر root است. اگر قبلاً به سرور مجازی خود وارد نشده اید ، میتوانید مطالب مربوط به نحوه اتصال به دراپلت خود با SSH را دنبال کنید ، که این روند را با جزئیات پوشش می دهد.
اگر از قبل به سرور مجازی خود وصل نشده اید ، اکنون با استفاده از دستور زیر به عنوان کاربر root وارد سیستم شوید (بخش هایلایت شده فرمان را با آدرس IP عمومی سرور مجازی خود جایگزین کنید):
$ ssh root@ your_server_ip
در صورت وجود هشدار درباره تایید هاست، آن را اکسپت کنید. اگر از تأیید اعتبار استفاده می کنید ، رمز ورود خود را وارد کنید. اگر از یک کلید SSH استفاده می کنید که از عبارت عبور محافظت می شود ، ممکن است از شما خواسته شود اولین بار که از هر کلید استفاده می کنید ، کلمه عبور را وارد کنید. اگر این اولین بار است که با گذرواژه وارد سرور مجازی می شوید ، ممکن است از شما خواسته شود رمزعبور root را تغییر دهید.
درباره ریشه
کاربر root کاربر ادمین در محیط لینوکس است و امتیازات بسیار گسترده ای دارد. به دلیل افزایش امتیازات حساب اصلی ، بهتر است از استفاده منظم از آن خودداری کنید. این به آن دلیل است که بخشی از قدرت ذاتی حساب root ، توانایی ایجاد تغییرات بسیار مخرب ، حتی به طور تصادفی است.
به این ترتیب ، مرحله بعدی راه اندازی یک حساب کاربری جایگزین با محدوده کاهش نفوذ برای کار روزانه است. این حساب همچنان در صورت لزوم می تواند امتیازات بیشتری را کسب کند.
مرحله 2 – ایجاد یک کاربر جدید
پس از ورود به عنوان root ، می توانید از این پس حساب کاربری جدیدی را که ما برای ورود به سیستم استفاده خواهیم کرد ایجاد کنید.
این مثال یک کاربر جدید به نام sammy ایجاد می کند ، اما شما باید آن را با هر نام کاربری که ترجیح می دهید جایگزین کنید:
# adduser sammy
در مرحله بعد ، یک رمزعبور قوی برای کاربر sammy تنظیم کنید:
# passwd sammy
از شما خواسته می شود که رمز عبور را دو بار وارد کنید. پس از انجام این کار ، کاربر شما آماده استفاده خواهد بود ، اما ابتدا به این کاربر امتیازات اضافی می دهیم تا از دستور sudo استفاده کند. این به ما امکان می دهد در صورت لزوم دستورات را به عنوان root اجرا کنیم.
مرحله 3 – اعطای امتیازات ادمین
اکنون ، یک حساب کاربری جدید با امتیازات منظم حساب داریم. با این حال ، ممکن است گاهی اوقات به انجام کارهای ادمین نیاز داشته باشیم.
برای جلوگیری از عدم ورود کاربر عادی و ورود به سیستم به عنوان حساب اصلی ، می توانیم برای حساب عادی خود چیزی را که به عنوان “superuser” یا امتیازات اصلی شناخته می شود تنظیم کنیم. این به کاربر عادی ما امکان می دهد با قرار دادن کلمه sudo قبل از هر دستور ، دستوراتی را با امتیازات ادمین اجرا کند.
برای افزودن این امتیازات به کاربر جدید خود ، باید کاربر جدید را به گروه wheel اضافه کنیم. به طور پیش فرض ، در CentOS 8 ، کاربرانی که به گروه wheel تعلق دارند ، مجاز به استفاده از دستور sudo هستند.
به عنوان root ، این دستور را اجرا کنید تا کاربر جدید خود را به گروه wheel اضافه کنید (کلمه هایلایت شده را با نام کاربری جدید خود جایگزین کنید):
# usermod -aG wheel sammy
اکنون ، هنگامی که به عنوان کاربر معمولی خود وارد سیستم شدید، می توانید قبل از دستورات sudo را تایپ کنید تا اقدامات خود را با امتیازات فوق کاربری انجام دهید.
مرحله 4 – تنظیم فایروال ساده
فایروال ها سطح ساده امنیتی را برای سرور مجازی شما فراهم می کنند. این برنامه ها وظیفه رد ترافیک در هر پورت روی سرور مجازی شما را دارند ، به استثنای آن درگاه ها / خدماتی که صریحاً تأیید کرده اید. CentOS برای انجام این عملکرد خدماتی به نام firewalld دارد. ابزاری به نام firewall-cmd برای پیکربندی رویکردهای فایروال firewalld استفاده می شود.
توجه: اگر سرور مجازی های شما روی vpsgol در حال اجرا هستند ، می توانید به طور اختیاری به جای فایروال UFW از vpsgol Cloud Firewalls استفاده کنید. ما توصیه می کنیم فقط از یک فایروال در یک زمان استفاده کنید تا از قوانین متناقض برای رفع اشکال جلوگیری کنید.
ابتدا firewalld را نصب کنید:
# dnf install firewalld -y
پیکربندی پیش فرض firewalld امکان اتصال به ssh را فراهم می کند ، بنابراین می توانیم فایروال را فوراً روشن کنیم:
# systemctl start firewalld
وضعیت سرویس را بررسی کنید تا مطمئن شوید که شروع شده است:
# systemctl status firewalld
Output
firewalld.service – firewalld – dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
Active: active (running) since Thu 2020-02-06 16:39:40 UTC; 3s ago
Docs: man:firewalld(1)
Main PID: 13180 (firewalld)
Tasks: 2 (limit: 5059)
Memory: 22.4M
CGroup: /system.slice/firewalld.service
└─13180 /usr/libexec/platform-python -s /usr/sbin/firewalld –nofork –nopid

توجه داشته باشید که هم active است و هم enabled باشد ، به این معنی که در صورت راه اندازی مجدد سرور مجازی به طور پیش فرض شروع شود.
اکنون که سرویس به روز شده است ، می توانیم از ابزار Firewall-cmd برای دریافت و تنظیم اطلاعات رویکردی برای فایروال استفاده کنیم.
ابتدا لیست کنید که کدام سرویس در حال حاضر مجاز است:
# firewall-cmd –permanent –list-all
Output
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0 eth1
sources:
services: cockpit dhcpv6-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:

برای دیدن خدمات بیشتری که می توانید با نام خود فعال کنید ، این دستور را تایپ کنید:
# firewall-cmd –get-services
برای افزودن سرویس موردنیاز ، از فلگ –add service استفاده کنید:
# firewall-cmd –permanent –add-service=http
این سرویس http را اضافه می کند و باعث می شود که ترافیک TCP ورودی به پورت 80 وارد شود. پیکربندی بعد از بارگذاری مجدد فایروال به روز می شود:
# firewall-cmd –reload
بخاطر داشته باشید که مجبور خواهید بود برای هرگونه خدمات اضافی که بعداً پیکربندی خواهید کرد ، فایروال (با خدمات یا پورت ها ) را صریحا باز کنید.
مرحله 5 – فعال کردن دسترسی خارجی برای کاربر معمولی شما
اکنون که ما یک کاربر معمولی غیر ریشه برای استفاده روزانه داریم ، باید اطمینان حاصل کنیم که می توانیم از آن برای SSH به سرور مجازی خود استفاده کنیم.
توجه: تا زمانی که تأیید نکنید که می توانید با کاربر جدید خود وارد سیستم شوید و از sudo استفاده کنید ، توصیه می کنیم که به عنوان root وارد شوید. به این ترتیب ، اگر مشکلی دارید می توانید به عنوان root عیب یابی کرده و هرگونه تغییر لازم را انجام دهید. اگر از Droplet vpsgol استفاده می کنید و با اتصال SSH root خود مشکل دارید ، می توانید با استفاده از کنسول vpsgol وارد Droplet شوید.
روند پیکربندی دسترسی SSH برای کاربر جدید شما به این بستگی دارد که آیا حساب اصلی سرور مجازی شما از رمز عبور یا از کلیدهای SSH برای تأیید اعتبار استفاده می کند.
اگر حساب Root از تایید صحت (authentication) رمز عبور استفاده می کند
اگر با استفاده از گذرواژه وارد حساب اصلی خود شده اید ، تأیید رمز عبور برای SSH فعال می شود. با باز کردن بخش ترمینال جدید و استفاده از SSH با نام کاربری جدید خود می توانید به حساب کاربری جدید خود SSH کنید:
$ ssh sammy@your_server_ip
بعد از وارد کردن رمزعبور معمولی کاربر ، وارد سیستم می شوید. به یاد داشته باشید اگر نیاز به اجرای یک فرمان با امتیازات ادمین دارید ، قبل از این کار sudo را تایپ کنید:
$ sudo command_to_run
برای اولین بار در هر بخش (و به صورت دوره ای بعد از آن) رمزعبور کاربر معمولی از شما خواسته می شوید.
برای تقویت امنیت سرور مجازی خود ، ما به شدت توصیه می کنیم به جای استفاده از تایید صحت رمز عبور ، کلیدهای SSH را تنظیم کنید. برای یادگیری نحوه پیکربندی تایید صحت مبتنی بر کلید ، راهنمای ما را در مورد تنظیم کلیدهای SSH در CentOS 8 را دنبال کنید.
اگر حساب Root از authentication کلید SSH استفاده می کند
اگر با استفاده از کلیدهای SSH به حساب اصلی خود وارد شده اید ، تأیید رمز عبور برای SSH غیرفعال است. برای ورود موفقیت آمیز به سیستم ، باید یک کپی از کلید عمومی خود را به فایل ~/.ssh/authorized_keys کاربر جدید اضافه کنید.
از آنجا که کلید عمومی شما در حال حاضر در فایل ~/.ssh/authorized_keys حساب اصلی در سرور مجازی است ، می توانیم آن فایل و ساختار دیرکتوری را در حساب کاربری جدید خود کپی کنیم.
ساده ترین روش برای کپی کردن فایل ها با مالکیت صحیح و مجوزها ، با دستور rsync است. با این کار فهرست دایرکتوری کاربر root استفاده می شود ، مجوزها را نگه میدارد و صاحبان فایل را تغییر میدهد و همه این کارها را در یک دستور واحد انجام میدهد. اطمینان حاصل کنید که قسمت هایلایت شده فرمان زیر را تغییر دهید تا با نام کاربر معمولی شما مطابقت داشته باشد:
توجه: فرمان rsync با منابع و مقصدهایی که به یک اسلش ختم شده متفاوت از مواردی که بدون اسلش هستند ، رفتار می کند. هنگام استفاده از rsync در زیر ، مطمئن شوید که دیرکتوری منبع (~ / .ssh) شامل یک اسلش دنباله ای نباشد (بررسی کنید تا مطمئن شوید که از ~/.ssh/ استفاده نمی کنید).
اگر به طور اتفاقی یک اسلش دنباله دار را به این فرمان اضافه کنید ، rsync محتویات دیرکتوری ~ / .ssh حساب root را به جای کپی کردن کل ساختار دیرکتوری. / .ssh در دیرکتوری هوم کاربر سودو کپی می کند. فایل ها در مکان اشتباه قرار خواهند گرفت و SSH قادر به یافتن و استفاده از آنها نخواهد بود.
# rsync –archive –chown=sammy:sammy ~/.ssh /home/sammy
اکنون ، دوباره به ترمینال جدید در دستگاه محلی خود بروید، بخش SSH جدید را با کاربر غیر ریشه خود باز کنید:
$ ssh sammy@your_server_ip
بدون استفاده از رمز ورود باید به حساب کاربری جدید وارد شوید. به یاد داشته باشید ، اگر نیاز به اجرای یک فرمان با امتیازات ادمین داشتید ، sudo را قبل از آن تایپ کنید:
$ sudo command_to_run
برای اولین بار در هر بخش (و به صورت دوره ای بعد از آن) رمزعبور کاربر معمولی از شما خواسته می شوید.
نتیجه
در این مرحله ، شما یک پایه محکم برای سرور مجازی خود دارید. اکنون می توانید هرکدام از نرم افزارهای مورد نیاز خود را بر روی سرور مجازی خود نصب کنید.