Сообщество / Гайды

что проверить на новом vps в первый час, короткий чеклист

lexa92
Middle
Сообщения: 163
Репутация: 145
Дата регистрации:
09.08.2026
АВТОР ТЕМЫ19 сент. 2026 г., 12:20 (GMT+3)
Насмотрелся тут на грабли новичков (без обид, все через это шли) и собрал, что делаю на любом свежем сервере в первый час, до того как что-то на нём поднимать. Не гайд на сто страниц, а базовая гигиена:

  • ssh: ключи вместо пароля, PasswordAuthentication no, root по ключу. без этого по вам уже стучат
  • обновиться: apt update && apt upgrade, перезагрузиться если ядро приехало
  • firewall: ufw, открыть только нужное (ssh + то, что реально смотрит в мир). всё остальное — на локалхост
  • проверить, что НЕ торчит наружу: ss -tlnp, глазами пройтись по 0.0.0.0. ollama, redis, postgres, панельки — часто вылезают сюда сами
  • swap небольшой + swappiness пониже
  • время/tz и ntp, иначе логи и cron поедут
  • бэкап решить сразу, до данных: куда и как. потом «некогда»

Это десять минут, которые экономят неделю разгребания. Что бы вы добавили или выкинули? У каждого свой первый час.
1
n1kita
Middle
Сообщения: 101
Репутация: 55
Дата регистрации:
19.08.2026
19 сент. 2026 г., 13:00 (GMT+3)
lexa92 хороший список, я бы только «проверить что не торчит наружу» поднял на второе место после ssh, потому что открытый порт работает против тебя с первой минуты, а не когда-нибудь. и добавил fail2ban на sshd, раз уж ключи. всё остальное подпишу.
0
C
che32
Junior
Сообщения: 35
Репутация: 34
Дата регистрации:
05.09.2026
19 сент. 2026 г., 13:40 (GMT+3)
lexa92 забираю в заметки, я на даче сервер поднимал наощупь, половину этого узнал уже по факту через грабли) про tz и ntp — прям да, у меня cron ночью не в то время срабатывал, я неделю думал что скрипт кривой, а это часы уехали.
2
kirill_nsk
Middle
Сообщения: 184
Репутация: 129
Дата регистрации:
26.08.2026
19 сент. 2026 г., 15:10 (GMT+3)
lexa92 вот бы мне этот список месяц назад)) я сервер поднял, туннель настроил и всё, а про ssh-ключи и порты вообще не думал, пока n1kita не напугал. сохранил, буду сверяться когда второй возьму. хотя мне и одного хватает пока)
0
pavel_63
Junior
Сообщения: 83
Репутация: 62
Дата регистрации:
13.08.2026
19 сент. 2026 г., 16:20 (GMT+3)
lexa92 добавлю от себя одно, дядькино: записать куда-нибудь, ЧТО ты на этом сервере наворотил. через полгода откроешь и не вспомнишь, зачем этот порт открыт и что за сервис висит. простой текстовый файл «что где» спасал меня чаще, чем любой мониторинг. остальное — подписываюсь под каждым пунктом.
0
kate_ekb
Middle
Сообщения: 116
Репутация: 81
Дата регистрации:
12.08.2026
19 сент. 2026 г., 20:20 (GMT+3)
lexa92 добавлю докерное в чеклист: после установки docker проверь, что демон не слушает tcp наружу (даёт полный root на хост), и логам поставь max-size сразу, а то первый же болтливый контейнер забьёт диск. и не публикуй порты в 0.0.0.0, если сервис нужен только локально.
0
S
serg_mail
Junior
Сообщения: 23
Репутация: 12
Дата регистрации:
17.09.2026
20 сент. 2026 г., 09:40 (GMT+3)
lexa92 хороший список, унёс. От себя, старомодное: сразу настрой, куда сервер шлёт системную почту (cron, ошибки), иначе важные уведомления копятся в /var/mail и их никто не видит. Многие про это забывают, а потом «крон молчал», а он писал, только в никуда.
2
C
che32
Junior
Сообщения: 35
Репутация: 34
Дата регистрации:
05.09.2026
20 сент. 2026 г., 10:20 (GMT+3)
lexa92 сохранил в заметки на второй сервер) первый я наощупь поднимал, половину узнал через грабли. pavel_63 прав про «записать что где наворотил» — я через три месяца свой же firewall не понимал, зачем правило стоит.
2
n1kita
Middle
Сообщения: 101
Репутация: 55
Дата регистрации:
19.08.2026
24 сент. 2026 г., 16:40 (GMT+3)
к чеклисту добавлю то, что чаще всего пропускают на радостях «сервер работает»: автообновления безопасности (unattended-upgrades) хотя бы для критичных пакетов. свежий сервер стареет молча, а дырки в ssh/nginx латают регулярно. один раз включить — и не ловить эксплойт на пакет, который полгода не обновлял.
1
S
serg_mail
Junior
Сообщения: 23
Репутация: 12
Дата регистрации:
17.09.2026
26 сент. 2026 г., 10:30 (GMT+3)
lexa92 к чеклисту первого часа допишу почтовое, раз меня это укусило: если на сервере будет отправка почты (хоть уведомления cron, хоть сайт письма шлёт) — сразу PTR у хостера и SPF в dns, иначе первые же письма уедут в спам и ты будешь неделю думать, что «postfix сломан». Настроить на старте — минута, ловить потом — дни.
0
S
serg_mail
Junior
Сообщения: 23
Репутация: 12
Дата регистрации:
17.09.2026
30 сент. 2026 г., 09:37 (GMT+3)
К своему сообщению про почту выше добавлю оговорку. PTR и SPF полезны, но сами по себе доставку во входящие не обеспечат. Смотрите ответы принимающей стороны и очередь: письмо могло быть принято, отклонено или ещё ждать повторной попытки. Это разные ситуации, а «не дошло» в разговоре означает любую из них.
0
S
serg_mail
Junior
Сообщения: 23
Репутация: 12
Дата регистрации:
17.09.2026
01 окт. 2026 г., 09:24 (GMT+3)
И адрес для аварийных уведомлений выбирайте с учётом отказа своей почты. Если проверяете собственный почтовый сервер и сообщаете о его поломке только через него же, есть шанс ничего не получить. Резервный путь нужен отдельно.
0
S
serg_mail
Junior
Сообщения: 23
Репутация: 12
Дата регистрации:
17.09.2026
02 окт. 2026 г., 09:18 (GMT+3)
И ещё при передаче почтового сервера: сохраните перечень доменов и где управляются их DNS-записи. Конфигурация почтовой службы сама по себе не расскажет следующему человеку, у кого доступ к нужной зоне.
0
lexa92
Middle
Сообщения: 163
Репутация: 145
Дата регистрации:
09.08.2026
05 окт. 2026 г., 20:35 (GMT+3)
К замечанию про перечень доменов добавлю ещё одну строку: зафиксировать, где зона реально обслуживается, а не где её привыкли править. Частая ситуация — записи редактируют в панели хостера, а NS домена указывают совсем на другие серверы, и изменения просто не применяются, пока не догадаешься посмотреть делегирование. Проверка занимает секунду: dig +short NS для домена покажет авторитетные серверы, там зона и живёт. Записать это рядом с доступами — через год сэкономит часы разборок.
2
masha_spb
Middle
Сообщения: 129
Репутация: 98
Дата регистрации:
11.08.2026
05 окт. 2026 г., 20:39 (GMT+3)
К пункту про NS добавлю сравнение ответа авторитетного сервера с ответом используемого резолвера. Например, одинаковую запись можно запросить напрямую у NS и обычным dig. Разница бывает из-за кэша и TTL, но это не единственная причина: стоит проверить, что запрашиваются одинаковые имя и тип записи, а делегирование корректно. После этого уже понятнее, чего ждать и что исправлять.
1
void_3am
Middle
Сообщения: 164
Репутация: 112
Дата регистрации:
14.08.2026
06 окт. 2026 г., 04:00 (GMT+3)
masha_spb это чеклист первого часа, а не курс по dns) в четыре ночи читается как экзамен. но dig +short NS теперь запомнил, спасибо
0