使用Debian8进行初始服务器设置

来自菜鸟教程
跳转至:导航、​搜索

介绍

当您第一次创建新的 Debian 8 服务器时,作为基本设置的一部分,您应该尽早采取一些配置步骤。 这将提高服务器的安全性和可用性,并为您后续操作奠定坚实的基础。

第一步 - 根登录

要登录您的服务器,您需要知道服务器的公共 IP 地址和“root”用户帐户的密码。 如果您还没有登录到您的服务器,您可能需要关注本系列的第一个教程,如何使用 SSH 连接到您的 Droplet,其中详细介绍了此过程。

如果您尚未连接到您的服务器,请继续并使用以下命令以 root 用户身份登录(将突出显示的单词替换为您的服务器的公共 IP 地址):

ssh root@SERVER_IP_ADDRESS

通过接受有关主机真实性的警告(如果出现),然后提供您的根身份验证(密码或私钥)来完成登录过程。 如果这是您第一次使用密码登录服务器,系统还会提示您更改 root 密码。

关于根

root 用户是 Linux 环境中的管理用户,具有非常广泛的权限。 由于 root 帐户的特权更高,您实际上 不鼓励 定期使用它。 这是因为 root 帐户固有的部分功能是能够做出非常具有破坏性的更改,即使是偶然的。

下一步是设置一个替代用户帐户,以减少对日常工作的影响范围。 我们将教您如何在需要时获得更多特权。

第二步——创建一个新用户

一旦您以 root 身份登录,我们就准备添加新的用户帐户,我们将从现在开始用于登录。

此示例创建一个名为“demo”的新用户,但您应该将其替换为您喜欢的用户名:

adduser demo

您将被问到几个问题,从帐户密码开始。

输入一个强密码,如果您愿意,可以选择填写任何附加信息。 这不是必需的,您可以在要跳过的任何字段中点击“ENTER”。

第三步——根权限

现在,我们有了一个具有常规帐户权限的新用户帐户。 但是,我们有时可能需要执行管理任务。

为了避免退出我们的普通用户并以 root 帐户重新登录,我们可以为我们的普通帐户设置所谓的“超级用户”或 root 权限。 这将允许我们的普通用户通过在每个命令前加上单词 sudo 来以管理权限运行命令。

安装须藤

Debian 8 没有安装 sudo,所以让我们用 apt-get 安装它。

首先,更新 apt 包索引:

apt-get update

然后使用此命令安装 sudo:

apt-get install sudo

现在您可以使用 sudovisudo 命令。

授予 Sudo 权限

要将这些权限添加到我们的新用户,我们需要将新用户添加到“sudo”组。 默认情况下,在 Debian 8 上,属于“sudo”组的用户可以使用 sudo 命令。

作为 root,运行此命令将您的新用户添加到 sudo 组(用您的新用户替换突出显示的单词):

usermod -a -G sudo demo

现在您的用户可以使用超级用户权限运行命令! 有关其工作原理的更多信息,请查看 this sudoers tutorial

第四步——添加公钥认证(推荐)

保护服务器的下一步是为新用户设置公钥身份验证。 设置此项将通过要求使用 SSH 私钥登录来提高服务器的安全性。

生成密钥对

如果您还没有由公钥和私钥组成的 SSH 密钥对,则需要生成一个。 如果您已有要使用的密钥,请跳至 复制公钥 步骤。

要生成新的密钥对,请在 本地计算机 的终端输入以下命令(即 你的电脑):

ssh-keygen

假设您的本地用户名为“localuser”,您将看到如下所示的输出:

ssh-keygen outputGenerating public/private rsa key pair.
Enter file in which to save the key (/Users/localuser/.ssh/id_rsa):

按回车键接受此文件名和路径(或输入新名称)。

接下来,系统将提示您输入密码来保护密钥。 您可以输入密码或将密码留空。

注意:如果您将密码留空,您将能够使用私钥进行身份验证而无需输入密码。 如果您输入密码,您将需要私钥 密码才能登录。 使用密码保护您的密钥更安全,但这两种方法都有其用途,并且比基本密码身份验证更安全。

这会在 localuser 的主目录的 .ssh 目录中生成一个私钥 id_rsa 和一个公钥 id_rsa.pub。 请记住,不应与不应访问您的服务器的任何人共享私钥!

复制公钥

生成 SSH 密钥对后,您需要将公钥复制到新服务器。 我们将介绍两种简单的方法来做到这一点。

注意:如果在 Droplet 创建期间选择了 SSH 密钥,ssh-copy-id 方法将无法在 DigitalOcean 上运行。 这是因为如果存在 SSH 密钥,DigitalOcean 会禁用密码验证,并且 ssh-copy-id 依赖密码验证来复制密钥。

如果您使用 DigitalOcean 并在创建 Droplet 期间选择了 SSH 密钥,请改用 选项 2


选项 1:使用 ssh-copy-id

如果您的本地计算机安装了 ssh-copy-id 脚本,您可以使用它来将您的公钥安装到您拥有登录凭据的任何用户。

通过指定要安装密钥的服务器的用户和 IP 地址来运行 ssh-copy-id 脚本,如下所示:

ssh-copy-id demo@SERVER_IP_ADDRESS

在提示符处提供密码后,您的公钥将被添加到远程用户的 .ssh/authorized_keys 文件中。 现在可以使用相应的私钥登录服务器。

选项 2:手动安装密钥

假设您使用上一步生成了 SSH 密钥对,请在 本地计算机 的终端上使用以下命令打印您的公钥(id_rsa.pub):

cat ~/.ssh/id_rsa.pub

这应该会打印出您的公共 SSH 密钥,它应该类似于以下内容:

id_rsa.pub contentsssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDBGTO0tsVejssuaYR5R3Y/i73SppJAhme1dH7W2c47d4gOqB4izP0+fRLfvbz/tnXFz4iOP/H6eCV05hqUhF+KYRxt9Y8tVMrpDZR2l75o6+xSbUOMu6xN+uVF0T9XzKcxmzTmnV7Na5up3QM3DoSRYX/EP3utr2+zAqpJIfKPLdA74w7g56oYWI9blpnpzxkEd3edVJOivUkpZ4JoenWManvIaSdMTJXMy3MtlQhva+j9CgguyVbUkdzK9KKEuah+pFZvaugtebsU+bllPTB0nlXGIJk98Ie9ZtxuY3nCKneB+KjKiXrAvXUPCI9mWkYS/1rggpFmu3HbXBnWSUdf localuser@machine.local

选择公钥,并将其复制到剪贴板。

将公钥添加到新的远程用户

要使用 SSH 密钥作为新的远程用户进行身份验证,您必须将公钥添加到用户主目录中的特殊文件中。

在服务器上,作为root用户,输入如下命令切换到新用户(换成自己的用户名):

su - demo

现在您将位于新用户的主目录中。

创建一个名为 .ssh 的新目录,并使用以下命令限制其权限:

mkdir .ssh
chmod 700 .ssh

现在使用文本编辑器在 .ssh 中打开一个名为 authorized_keys 的文件。 我们将使用 nano 来编辑文件:

nano .ssh/authorized_keys

现在通过将其粘贴到编辑器中来插入您的公钥(应该在剪贴板中)。

点击 CTRL-X 退出文件,然后点击 Y 保存您所做的更改,然后点击 ENTER 确认文件名。

现在使用以下命令限制 authorized_keys 文件的权限:

chmod 600 .ssh/authorized_keys

键入此命令 once 以返回给 root 用户:

exit

现在您可以使用私钥作为身份验证,以新用户身份 SSH 登录。

要了解有关密钥身份验证如何工作的更多信息,请阅读本教程:如何在 Linux 服务器上配置基于 SSH 密钥的身份验证

第五步 - 配置 SSH

现在我们有了新帐户,我们可以通过修改其 SSH 守护程序配置(允许我们远程登录的程序)来禁止远程 SSH 访问 root 帐户来保护我们的服务器。

首先使用您的文本编辑器以 root 身份打开配置文件:

nano /etc/ssh/sshd_config

在这里,我们可以选择通过 SSH 禁用 root 登录。 这通常是一个更安全的设置,因为我们现在可以通过我们的普通用户帐户访问我们的服务器,并在必要时提升权限。

要禁用远程 root 登录,我们需要找到如下所示的行:

/etc/ssh/sshd_config(之前)

#PermitRootLogin yes

如果要禁用 root 登录,可以像这样将此行修改为“no”:

/etc/ssh/sshd_config(之后)

PermitRootLogin no

强烈建议在每台服务器上禁用远程 root 登录!

完成更改后,使用我们之前介绍的方法保存并关闭文件(CTRL-X,然后 Y,然后 ENTER)。

重新加载 SSH

现在我们已经进行了更改,我们需要重新启动 SSH 服务,以便它使用我们的新配置。

键入以下内容以重新启动 SSH:

systemctl restart ssh

现在,在我们注销服务器之前,我们应该 测试 我们的新配置。 在我们确认可以成功建立新连接之前,我们不想断开连接。

打开一个 new 终端窗口。 在新窗口中,我们需要开始与服务器的新连接。 这一次,我们想使用我们创建的新帐户,而不是使用 root 帐户。

ssh demo@SERVER_IP_ADDRESS

系统将提示您输入您配置的新用户密码。 之后,您将以新用户身份登录。

请记住,如果您需要以 root 权限运行命令,请在它之前输入“sudo”,如下所示:

sudo command_to_run

如果一切顺利,您可以通过键入以下内容退出会话:

exit

然后去哪儿?

至此,您的 Debian 8 服务器有了坚实的基础。 您现在可以在服务器上安装您需要的任何软件。