Настройка Linux, Freebsd, *nix: базовый чек-лист — обсуждение

Начинаешь работать с Linux или FreeBSD и чувствуешь, что настройка системы — это какая-то дремучая тайна? Не переживай, такой подход знаком почти всем, кто только погружается в мир *nix. Чтобы не хандрить и не делать лишних телодвижений, стоит иметь под рукой базовый чек-лист по настройке — именно о нем и пойдет речь.

Что это такое

Базовый чек-лист настройки Linux, FreeBSD и других *nix — это список ключевых этапов, на которые стоит обратить внимание после установки операционной системы или перед её использованием в боевом режиме. Этот список помогает последовательно проверить основные параметры системы, начиная от базовых аспектов управления пользователями и заканчивая конфигурацией сети, безопасности и оптимизацией производительности. Такой чек-лист избавляет от множества проблем, которые могут возникнуть из-за неправильной конфигурации, отсутствия актуальных обновлений или неучтённых деталей в настройках.

Где применяется

Этот набор действий актуален для любого, кто администрирует сервера, виртуальные машины, десктопы или домашние компьютеры на базе *nix. Неважно, новичок ты, который только начал копаться в Ubuntu, или опытный админ, который настраивает FreeBSD или Arch Linux — базовые принципы остаются одинаковыми, и их стоит знать. Особенно этот чек-лист выручает при развёртывании новых инстансов, при аудите системы или когда нужно быстро проверить состояние уже работающей ОС.

Основные этапы настройки

1. Обновление и установка базовых пакетов
Первое, что нужно сделать после установки — обновить систему и поставить максимум полезных и необходимых тебе программ. В Linux обычно это выглядит как sudo apt update && sudo apt upgrade (для Ubuntu/Debian) или pacman -Syu (для Arch), на FreeBSD — pkg update и pkg upgrade.

2. Управление пользователями и правами
Нужно создать отдельного пользователя для работы, чтобы не использовать root без надобности. Также стоит настроить sudo, чтобы не вводить пароль root каждый раз, и проверить группы пользователей. Первое правило безопасности — минимум прав для пользователя.
Пример: добавить пользователя user1 в группу sudo или wheel (в зависимости от системы).

3. Настройка сети
Проверяем, чтобы сеть корректно работала. Это может быть настройка статического IP, если нужно, или проверка DHCP-клиента. Также полезно настроить firewall — например, ufw в Linux или ipfw/ipf в FreeBSD, чтобы закрыть ненужные порты и разрешить только необходимые подключения.

4. Оптимизация параметров системы
Можно проверить настройки sysctl, посмотреть лимиты открытых файлов, настроить swappiness (для Linux), при необходимости отключить ненужные сервисы. Это поможет сделать систему быстрее и стабильнее.

5. Конфигурирование логов и мониторинг
Логи очень важны для диагностики проблем. Проверяем, что работает syslog (rsyslog, syslog-ng или встроенный journalctl в systemd), настраиваем ротацию логов, чтобы они не занимали весь диск. Можно сразу поставить и настроить базовые инструменты мониторинга — top, htop, netstat, vmstat, или что-то более продвинутое, вроде Netdata.

6. Резервное копирование
Если система важна, сразу стоит настроить резервное копирование важных данных и конфигураций. Это может быть простое копирование через rsync или более сложные бэкапы через Bacula, Borg и т.д.

7. Безопасность
Настраиваем SSH — меняем порт, отключаем вход по root (PermitRootLogin no), используем ключи вместо пароля. Можно включить двухфакторную аутентификацию. Проверяем SELinux/AppArmor, если они есть — не всегда нужно, но бывает очень полезно.

Типичный чек-лист для базовой настройки

- Обновить базовую систему
- Создать пользователя для работы без root
- Настроить sudo и права доступа
- Настроить SSH-сервер (порт, ключи, root-доступ)
- Настроить брандмауэр (ufw, iptables, ipfw)
- Настроить сетевые параметры (IP, DNS)
- Отключить ненужные службы и демоны
- Настроить мониторинг и логи (journalctl, syslog)
- Проверить и настроить swap и параметры ядра (sysctl)
- Организовать резервное копирование
- Проверить и включить механизмы безопасности (SELinux, AppArmor)
- Задать пароль для пользователя и root, проверить политику паролей

Практические примеры

Допустим, у нас свежая установка Ubuntu Server. Мы выполняем:

- sudo apt update && sudo apt upgrade -y — обновляем всю систему
- adduser user1 — создаём нового пользователя
- usermod -aG sudo user1 — даём ему привилегии sudo
- Редактируем /etc/ssh/sshd_config, меняем порт с 22 на 2222, отключаем PermitRootLogin
- Запускаем ufw, включаем и открываем нужный порт: ufw enable; ufw allow 2222/tcp
- Проверяем работу iptables: sudo iptables -L -n
- Отключаем ненужные службы через systemctl disable имя_сервиса
- Настраиваем бэкап с помощью rsync на внешний диск или отдельный сервер

По итогу у нас готовая и относительно безопасная машина для дальнейшей работы.

Типичные ошибки начинающих

- Использование root для повседневной работы, что очень плохо с точки зрения безопасности.
- Игнорирование обновлений системы, из-за чего накапливаются баги и дыры.
- Не настраивается firewall, отрытые порты оставляют систему уязвимой.
- Пароли оставляют слишком простые или стандартные.
- Отсутствие резервного копирования — всё важное может потеряться при сбое.
- Неправильная настройка SSH — например, оставляют доступ по паролю, не меняют стандартный порт.
- Перегрузка системы ненужными сервисами, которые запускаются по умолчанию.

FAQ

В: Нужно ли всегда сразу настраивать SELinux/AppArmor?
О: Не обязательно, особенно на десктопах или в простых случаях. Но на серверах, особенно в продакшн, лучше как минимум проверить их статус и настроить для повышения безопасности.

В: Какая файловая система лучше?
О: ZFS, Btrfs, ext4, UFS — всё зависит от задачи и конкретной ОС. Для Linux чаще ext4, для FreeBSD — UFS или ZFS. ZFS хорош для стабильности и бэкапов, но требует больше ресурсов.

В: Как правильно менять порт SSH?
О: Нужно выбрать свободный порт выше 1024, изменить параметр Port в /etc/ssh/sshd_config, затем перезапустить sshd, и не забыть открыть этот порт в firewall.

В: Можно ли пропустить настройку firewall для домашнего сервера?
О: Теоретически можно, но если сервер доступен из интернета, лучше не рисковать — многие атаки идут по «автоматике» на стандартные порты.

В: Как понять, что система работает оптимально?
О: Следи за загрузкой CPU, использованием памяти, нагрузкой дисков через инструменты мониторинга. Если всё в пределах нормы, нет проблем с производительностью и нет частых падений сервисов — значит, настройка прошла успешно.

Если есть свои способы или лайфхаки по настройке базовых систем, делитесь! Особенно интересно узнать, как вы решаете нетривиальные проблемы или автоматизируете рутинные задачи.