Een kale server
Na oplevering krijg je een schoon besturingssysteem en verder niets. Deze vier dingen doe je vóór je er iets op gaat bouwen.
1. Updates
apt update && apt upgrade -y
Een net opgeleverde server loopt al achter, omdat het installatiebestand ouder is dan vandaag. Dit is dus geen onderhoud maar de eerste stap.
2. Niet als root werken
adduser jouwnaam
usermod -aG sudo jouwnaam
Als root heeft elk commando de macht om alles te wissen, ook een typefout. Werk als gewone gebruiker en zet sudo ervoor als het echt nodig is. Dat halve seconde bedenktijd heeft al veel servers gered.
Zet daarna je SSH-sleutel ook voor deze gebruiker klaar, anders kun je alleen nog als root inloggen en heb je er niets aan.
3. De firewall — in deze volgorde
ufw allow OpenSSH
ufw enable
Die volgorde is niet vrijblijvend. Zet je ufw aan zonder eerst SSH toe te staan, dan verlies je meteen je verbinding en moet je via de webconsole naar binnen om het recht te zetten.
Daarna open je alleen wat er open moet:
ufw allow 80/tcp # website
ufw allow 443/tcp # website via https
ufw status # kijken wat er open staat
Je hebt twee firewalls. Deze ufw op de server, en de Firewall in je dashboard die ervóór zit. Ze weten niets van elkaar: staat een poort in één van beide dicht, dan is hij dicht. Bij "mijn site is niet bereikbaar" is dat het eerste om na te lopen.
4. Een back-up buiten je server
Zet meteen iets op dat je data ergens ánders neerzet. Een dagelijkse database-dump naar een andere plek is het minimum.
Snapshots in je dashboard zijn nuttig, maar ze staan op dezelfde opslag als je VPS — zie Snapshots en opnieuw installeren.
Daarna pas
Nu kun je installeren wat je wilde: een webserver, Docker, een applicatie. Wat je ook kiest: houd bij wat je doet. Een server die je over een half jaar moet aanpassen is een server waarvan je niet meer weet hoe je hem hebt ingericht.
Waar je op moet letten
Automatische beveiligingsupdates. Standaard staan die niet altijd aan. unattended-upgrades installeren scheelt je een hoop, want een server die maandenlang geen updates krijgt is de gewone manier waarop dit misgaat.
SSH op poort 22 laten staan is prima, zolang wachtwoordlogin uitstaat. Verhuizen naar een andere poort scheelt ruis in je logboek maar houdt niemand tegen die het serieus probeert.
Kijk af en toe naar je schijfruimte. Logbestanden groeien stil door, en een volle schijf legt een server op de vreemdste manieren stil.