Настройка после установки

При установке по умолчанию учётная запись root заблокирована, а административная работа делегируется пользовательской учётной записи, обладающей правами root (sudo). Удобно сделать процесс входа максимально комфортным.

An SSH key file saves the otherwise annoying and error‑prone typing of the hopefully secure and sufficiently long password. Additionally, you may prepare your local desktop to use a short name instead of having to type in a complete FQN hostname.

Open Cockpit in your desktop’s browser https://host.example.com:9090. Accept the security warning of your browser. Cockpit uses a self signed certificate.

If you disabled root access during installation (recommended), logging in as root is not possible.

Login with your administrative user account. At the top you will see a warning that the Web Console is running with limited permissions. Enable administrator access so that all administrative privileges are automatically available after login.

Системные пользователи — это систематическая слабая точка в защите сервера от атак компрометации. Это, безусловно, непреднамеренно со стороны пользователей. Это связано с недостатком понимания, небезопасными паролями, подверженностью фишинговым атакам и тому подобным. С другой стороны, сервер эксплуатируется именно для пользователей.

Поэтому лучшей практикой является минимизация числа системных пользователей и вместо этого использование виртуальных учётных записей или перенос приложений, требующих системных пользователей, в виртуальные машины или контейнеры. В случае вторжения это своего рода вторая линия обороны, пытающаяся уберечь сам сервер от заражения даже тогда.

Кроме того, это небольшое усилие, чтобы вообще запретить вход по паролю и обязать использовать ключевые файлы. Исключение можно определить для отдельных выбранных пользователей. Если сервер расположен в центре обработки данных и доступен только удалённо без особых дополнительных усилий, может иметь смысл настроить «резервного пользователя» на случай, если аутентификация по ключу по какой-то причине станет недоступна.

Как побочный эффект, это избавляет от множества предупреждающих сообщений в файле журнала и упрощает их проверку.

Cockpit полагается на вход по паролю в свой веб-интерфейс, даже для root (если только учётная запись root не полностью заблокирована; блокировка учётной записи в рамках ssh здесь не помогает). И таким образом он является потенциальной целью для атак методом перебора. В большинстве случаев он редко используется в повседневной работе, и хорошей практикой может быть удаление общей доступности в брандмауэре. Вместо этого получайте доступ к Cockpit одним из трёх безопасных способов, описанных ниже.

There are several ways to improve the security of Cockpit access. All of them are based on permanently withdrawing access to Cockpit in the firewall. So, reconfigure the firewall permanently.

Use one of the following alternatives to access Cockpit.

Даже если вы активировали доступ root во время установки, вы, надеемся, оставили вариант по умолчанию, ограничивающий root аутентификацией по ключевому файлу. Поэтому вам нужно настроить ключевой файл перед любым входом по ssh. Но учтите! Вы всё ещё можете войти в веб-интерфейс Cockpit. Поэтому в этом случае обязательно реализуйте дополнительные меры безопасности, описанные в предыдущей главе!

Оба важны для бесперебойной работы сервера. На случай, если вы пропустили их настройку во время установки или они неверны, сейчас есть возможность это исправить.

В зависимости от усилий при установке может потребоваться упорядочивание сетевой конфигурации.

Это звучит тривиально, но перед любым изменением сетевой конфигурации убедитесь, что записи в DNS корректны. Если вы переходите с DHCP на фиксированные адреса, вам может потребоваться скорректировать DNS, и наоборот!

Наконец, перезагрузитесь сейчас, чтобы проверить всё с нуля

В Fedora 39 конфигурация LVM по умолчанию изменилась. Различные команды управления LVM теперь обрабатывают только зарегистрированные, «легитимные» блочные устройства, подключённые к системе. Крайне важно проверить правильность списка в файле устройств.

В зависимости от того, как вы решили вопрос с хранилищем данных во время установки, может потребоваться различная дополнительная настройка.

Если общее отключение входа по паролю не является вариантом, стоит рассмотреть установку fail2ban.

The software monitors the log files for authentication errors. In case of multiple retries from the same IP address, it reconfigures the firewall on the fly to block the source IP. This is to prevent brute‑force methods for cracking passwords and bots checking for weak passwords. However, a system administrator may also lock himself out if a mistake is made. Therefore, you can exclude distinct IP addresses, e.g., the administrator’s desktop, from blocking.

Программное обеспечение проверяет файлы журналов на аномалии и составляет ежедневный отчёт, который при желании можно отправить системным администраторам по электронной почте. Это что-то вроде минимального защитного усилия. Более мощной, но гораздо более сложной была бы установка программного обеспечения мониторинга.

В зависимости от вашей среды вы можете захотеть отключить LLMNR и/или mDNS. Оба протокола подвержены тривиальным атакам отравления DNS со стороны вредоносного ответчика.

Вы можете просмотреть состояние LLMNR и mDNS с помощью следующей команды: sudo systemd-resolve --status

Среди системных администраторов общепризнано, что регулярная установка исправлений ошибок и закрытие уязвимостей безопасности имеют важное значение; применение обновлений систематическим образом. Важным шагом является автоматизация процесса в разумных пределах.

Fedora includes a tool, dnf-automatic, which supports several modes of update automation: do not apply, notify admin, apply and notify admin, apply without notification. In particular, alternatives 2 and 3 are definitely worth considering. A general principle might be: Alternative 2 is the minimum choice for almost any system, alternative 3 is not at all suitable for critical systems that must not fail under any circumstances.

We recommend installing at least alternative 2:

If you want to automatically install, activate the corresponding timer instead.

Теперь, когда безопасный административный доступ настроен, самое время обновить систему и установить полезное программное обеспечение. Конечно, «полезное программное обеспечение» зависит от сценария использования или приложений, которые будут работать на Fedora Server. В любом случае хорошим выбором может быть vim. С vimdiff, например, сравнение обновлений файлов конфигурации (*.rpmnew) очень удобно и просто.

Добавьте в список программного обеспечения по мере необходимости.

Наконец, перезагрузите сервер.