Хабр Курсы для админов
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Поток Администрирование доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 38
Довольно подробно расписаны этапы настройки впс, их как раз не хватает в оригинальном скрипте.
Раньше я сохранял такие статьи в закладки. Теперь сразу в pdf. Грустно и печально.
Новые версии SSH уже сами умеют банить серийные переборы паролей по весьма слуожным критериям. Скрипач fail2ban не нужен. RTFM, как говорится.
А можно это ставить не чурным ящиком-комбайном с web-сервером впридачу, а в виде отдельных сервисов, чтобы потом это нормально конфигурировать под сложные конфигурации и маршрутизации?
Меня ОЧЕНЬ смущает остуствие внятной документации по администрованию и потрохам этого всего. Мутные типы в мутных репозиториях дают мутные супер-скрипты, которые нужно слепо ставить и они сделают чудо. Ага-ага, что может пойти не так.
Скорее всего не будет по этой инструкции работать, так как забыли указать IP forwarding. Ну и смысла в замене порта с22 я вообще никакого не вижу, лучше бы вместо ссылки написать пару абзацев как отключить вход по паролю и подключить по SSH ключам.
С языка сняли. Вхож по ключу и fail2ban не нужен
Он там не нужен. Система работает не на сетевой маршрутизации L3. Тут на прикладном уровне L7.
Сейчас кто-то подберет реально пароль вида #@iryEr$3B2ffr? А даже если подберут то что получат? Сервер за 200 рублей в месяц?
Прячите айпишники, меняете пароли, ставите сертификаты будто у вас там база всех жителей страны. Первые пункты считаю не актуальными и только ещё больше заблуждают новичков, им надо - ввел команду "сделай все заепись чтоб впн был" и все
Я тоже легкомысленно относился что сервер ломанут, в итоге брутнули пользователя без доступа к командой строке и айпишник оказался в спамбазах, везде капча.
Не реально. Если ты себе там пароль не поставил 123456.
А учитывая то что автор рекомендует сменить стандартный хостеровский пароль, пользователь с большим шансом поставит 123456 и его ломанут нахрен
Да я понимаю, могут ломануть почту, оттуда достать пароль и зайти на сервер, который стоит в месяц дешевле чем биг тейсти. Но нахера оно надо злоумышленнику?
1) Зачем ставить и изучать ufw, если на Debian / Ubuntu уже работает nftables?
2) Зачем править системный sshd_config, если в системе специально есть целый каталог sshd_config.d, для пользовательских изменений? А еще sshd_config может по недосмотру затереться настройками "по умолчанию" при обновлении системы.
3) Авторизацию sshd рекомендуется сразу делать только по ключам.
4) Неплохо бы проверить IPv6 на VPS. А то VPS может оказаться доступна всем.
P.S. Чувствую себя как Катон, со своим Carthago delenda est.
А вот это для меня остаётся загадкой:
Для VPS можете выбрать любую иностранную страну, желательно с наименьшей цензурой в интернете и ближайшую к вам по местоположению (от этого может зависеть задержка соединения)
Я живу на дальнем востоке, арендовал сервак в Японии - пинга от 300 до 500 мс.
Потом у этого же хостинга взял сервер в Финляндии (померьте на картах, какое расстояние от дальнего востока до финки) и пинга до него сейчас 141 мс.
Как говорил один из братьев пилотов - ничего не понимаю (с)
Можете проверить трассировкой маршрут, и вы поймёте все.
Трафик ваш мог спокойно наматывать кругаля Москва, возможно через Европу - дальше в Азию (Пекин - Сеул) - и только потом Токио
Географическая близость вообще не гарантирует наличие прямого пиринга с ДВ до Японии, тем более, если точки разделены водой, даже если есть подводные кабели между странами. Да даже наличие пиринга не гарантирует, что конкретно в вашем случае трафик будет идти по этому маршруту.
Маршрут определяется не расстоянием и задержками, а "дешевизной" транзита по тем или иным путям, конкретному оператору может быть сподручнее кидать трафик по своим магистралям до Москвы ( либо напрямую дороже, либо вообще невозможно по договорам и делать это может только tier1 например, но не ваш провайдер )
Ну сейчас уже, к сожалению, не измерю, так как от Японского отказался, нафиг он нужен с такой пингой, но в целом это подтверждает то, что
любую иностранную страну, желательно с наименьшей цензурой в интернете и ближайшую к вам по местоположению
Вообще не гарантирует низкий пинг до сервака)
Рисуем граф, ставим пару вершин очень рядом друг к другу, но соединяем линией с очень большим весом)
можно померить где ближе к вам CloudPing.info
хоспади что за гавно этот vless
уже не актуален на нем нельзя стримить и играть 👎🏾👎🏾👎🏾
hysteria 2 👍🏾😜🔥 с маскировкой под яндекс пробивает любые блокировки и списки
И всё таки, что за хостер? 1 евро в месяц давно уже нет таких цен. 3 минимум.
Понравилось, все по полочкам, для тупенькиз как я)
Не хватает секций про генерацию и установку сертификата - в последних версиях панели оно является обязательным. Довольно не тривиально, лично у меня не сработало и пока забросил.
Можно запинывать вопросы (или даже попросить написать полную инструкцию) в ИИ. Я сейчас сижу с Qwen, как мне кажется, весьма хорош.
Вместо обычного CMD терминала, если приходится возиться с настройкой серверов периодически, то для windows рекомендую Putty или Mobaxterm (пользуюсь последним), для мака — Termius (вполне хватает бесплатного тарифа).
Так же нового пользователя можно добавить в группу sudo, чтобы не вводить пароль. Но это я бы рекомендовал только после смены авторизации с парольного доступа на доступ по ключам.
На этот конфиг можно накинуть 3x ui или он все сломает?
Вот раньше пользовался shadowsocks там было понятно: один бинарник и простой json конфиг и тоже самое на клиенте, а в xray конфиг такой развесистый - поэтому это и подталкивает использовать дополнительные сервисы типа 3X-UI.
Отдельно удивляет столько внимания безопасности (файрвол, ssh тюнинг), но при эти запуск sh-скрипта, скаченного curl-ом из интернетов, откуда гарантия что он со собой майнер крипты не установит или подключит к ботнету. 3X-UI можно поставить через docker-compose, там хоть какая-то изоляция сервиса.
Спасибо, все получилось. Только теперь вопрос, это же только для одного пользователя настройка? Или есть возможность добавить другого, чтобы и ему выдал конфиги? Если есть возможность, то что для этого нужно, отдельный домен?
Может мне кто нибудь помочь, я налажал так сильно что у меня перстала работать амнезия через впн при подключении к протоколу пропадает интернет, исправил сменой настроек jmin и max но при попытке поделиться конфигом интерент снова пропадает
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Инструкция по быстрой настройке VPS и конфигурации Vless