Ubuntu 24.04 настройка после установки: Полное руководство для сервера и рабочей станции

# Обновляем список пакетов
sudo apt update

# Обновляем установленные пакеты до последних версий
sudo apt upgrade -y

# Устанавливаем часто используемые утилиты
sudo apt install -y \
  curl \
  wget \
  git \
  htop \
  net-tools \
  software-properties-common \
  apt-transport-https \
  ca-certificates \
  gnupg

# Просмотр текущего hostname
hostnamectl

# Установка нового hostname (например, 'my-server')
sudo hostnamectl set-hostname my-server

# Редактируем файл /etc/hosts, добавляем запись для нового имени
sudo nano /etc/hosts
# Добавь строку (подставь свой IP):
# 192.168.1.100   my-server.local my-server

# Устанавливаем UFW, если его нет
sudo apt install -y ufw

# Запрещаем все входящие подключения по умолчанию
sudo ufw default deny incoming

# Разрешаем все исходящие по умолчанию
sudo ufw default allow outgoing

# Разрешаем SSH (ВАЖНО: убедись, что порт совпадает с твоим SSH-демоном)
sudo ufw allow 22/tcp

# Для веб-сервера добавляем порты 80 и 443
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Включаем брандмауэр (будь осторожен, если подключен по SSH!)
sudo ufw enable

# Проверяем статус
sudo ufw status verbose

# Резервное копирование конфига
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup

# Редактируем конфиг
sudo nano /etc/ssh/sshd_config

# Ниже критические настройки, которые нужно изменить/раскомментировать:
Port 2222                    # Меняем стандартный порт (22 -> 2222 или другой)
PermitRootLogin no          # Запрещаем вход от root
PubkeyAuthentication yes    # Включаем аутентификацию по ключу
PasswordAuthentication no   # Отключаем вход по паролю (ПОСЛЕ настройки ключа!)
AllowUsers ваш_пользователь # Разрешаем вход только конкретному пользователю

# Перезагружаем SSH демон
sudo systemctl restart sshd

# НЕ ЗАКРЫВАЙ ТЕКУЩУЮ SSH СЕССИЮ! Открой новое окно и проверь подключение на новом порту.
# ssh -p 2222 ваш_пользователь@IP_адрес

# Создаем нового пользователя (например, 'admin')
sudo adduser admin

# Добавляем пользователя в группу sudo
sudo usermod -aG sudo admin

# Переключаемся на нового пользователя
su - admin

# Проверяем права sudo (запросит пароль пользователя admin)
sudo whoami

# Генерируем SSH ключи для нового пользователя (на своей локальной машине!)
# ssh-keygen -t ed25519 -C "email@example.com"

# Копируем публичный ключ на сервер (с локальной машины)
# ssh-copy-id -p 2222 admin@IP_адрес

# Просмотр текущих настроек времени
timedatectl

# Список доступных временных зон
timedatectl list-timezones | grep Europe

# Установка временной зоны (например, Москва)
sudo timedatectl set-timezone Europe/Moscow

# Убедимся, что timesyncd (клиент NTP) активен
sudo systemctl enable systemd-timesyncd
sudo systemctl start systemd-timesyncd

# Проверяем статус синхронизации
timedatectl status

# Проверяем текущий своп
free -h
swapon --show

# Создаем файл подкачки (если его нет и он нужен)
# 1. Создаем файл (размер = 2GB)
sudo fallocate -l 2G /swapfile
# 2. Устанавливаем правильные права
sudo chmod 600 /swapfile
# 3. Делаем его свопом
sudo mkswap /swapfile
# 4. Активируем
sudo swapon /swapfile
# 5. Добавляем в fstab для автозагрузки
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

# Настраиваем параметр swappiness (склонность к использованию свопа)
# Значение 10 означает, что ядро будет использовать своп только при 90% заполненной RAM
sudo nano /etc/sysctl.conf
# Добавь строку:
# vm.swappiness=10

# Применяем изменения
sudo sysctl -p

# Устанавливаем fail2ban
sudo apt install -y fail2ban

# Копируем конфиг по умолчанию
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# Редактируем конфиг
sudo nano /etc/fail2ban/jail.local

# Находим секцию [sshd] и меняем/добавляем (учитываем свой порт SSH!):
[sshd]
enabled = true
port = 2222                   # Указываем НАШ порт SSH
maxretry = 5                  # Количество попыток до бана
bantime = 3600                # Время бана в секундах (1 час)
findtime = 600                # Окно времени для подсчета попыток (10 мин)

# Запускаем и включаем автозагрузку
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

# Проверяем статус
sudo systemctl status fail2ban
sudo fail2ban-client status sshd