Serverul VPS: actualizările și firewall-ul

Ce vei reuși

• aduci sistemul la zi;
• pornești actualizările de securitate automate;
• lași deschise doar porturile pe care le folosești.

Înainte să începi

• Dacă ai mai mult decât un server gol pe care abia l-ai primit, cere-ne un snapshot înainte (pe email sau pe WhatsApp; îl facem în aceeași zi lucrătoare). Snapshoturile din plan sunt incluse în preț.
• Știi ce rulează pe server și pe ce porturi: SSH pe 22, un site pe 80 și 443, n8n sau alte aplicații pe porturile lor.
• Ține deschisă o sesiune SSH cât configurezi firewall-ul. Dacă blochezi din greșeală SSH, din ea repari.

Pașii

A. Aduci sistemul la zi

1. Ubuntu și Debian:

   sudo apt update && sudo apt upgrade

2. AlmaLinux și Rocky:

   sudo dnf upgrade

3. Verifică dacă e nevoie de repornire (de exemplu după un nucleu nou):
   • Ubuntu și Debian: dacă există fișierul /var/run/reboot-required, repornește;
   • AlmaLinux și Rocky: sudo dnf install dnf-utils, apoi sudo needs-restarting -r.
4. Repornește cu sudo reboot, așteaptă un minut și intră din nou.

B. Pornești actualizările de securitate automate

5. Ubuntu: pachetul unattended-upgrades e de obicei instalat și pornit. Verifică:

   sudo dpkg-reconfigure -plow unattended-upgrades

   Răspunde Yes. De acum, actualizările de securitate se instalează singure, zilnic.

6. Debian:

   sudo apt install unattended-upgrades
   sudo dpkg-reconfigure -plow unattended-upgrades

7. AlmaLinux și Rocky:

   sudo dnf install dnf-automatic

   În /etc/dnf/automatic.conf, la secțiunea [commands], pune apply_updates = yes (și, dacă vrei doar securitate, upgrade_type = security). Apoi:

   sudo systemctl enable --now dnf-automatic.timer

8. Actualizările automate nu repornesc serverul. O dată pe lună, sau când citești despre o breșă importantă, verifică pasul 3 și repornește la o oră liniștită.

C. Pornești firewall-ul — Ubuntu și Debian (UFW)

9. Pe Debian, instalează-l: sudo apt install ufw. Pe Ubuntu e deja instalat.

10. Întâi permite SSH, altfel te închizi pe dinafară:

    sudo ufw allow OpenSSH

    Dacă ai mutat SSH pe alt port, permite portul acela: sudo ufw allow 2222/tcp.

11. Permite ce mai folosești, de exemplu un site:

    sudo ufw allow 80/tcp
    sudo ufw allow 443/tcp

12. Pornește firewall-ul și verifică:

    sudo ufw enable
    sudo ufw status verbose

    Implicit, UFW blochează tot ce intră și nu e permis și lasă să plece tot ce iese.

D. Pornești firewall-ul — AlmaLinux și Rocky (firewalld)

13. Verifică dacă rulează: sudo systemctl enable --now firewalld.
14. SSH e de obicei permis din instalare. Verifică și adaugă ce folosești:

    sudo firewall-cmd --permanent --add-service=ssh
    sudo firewall-cmd --permanent --add-service=http
    sudo firewall-cmd --permanent --add-service=https
    sudo firewall-cmd --reload
    sudo firewall-cmd --list-all

E. Verifici din afară

15. Dintr-o fereastră nouă, intră din nou prin SSH. Dacă merge, firewall-ul e bun.
16. Deschide în browser serviciile publice (site-ul, panoul aplicației) și verifică că se încarcă.
17. Vezi ce porturi ascultă pe server: sudo ss -tulpn. Orice serviciu care ascultă pe 0.0.0.0 sau [::] și nu trebuie să fie public (o bază de date, Redis) trebuie fie oprit, fie legat doar de 127.0.0.1, fie lăsat blocat în firewall.

Atenție la Docker

Dacă ai ales imaginea cu Docker, n8n, Dokploy sau altă aplicație care rulează în containere, Docker își face singur regulile de rețea și ocolește UFW: un port publicat de un container (de exemplu cu -p 5678:5678) e accesibil din internet chiar dacă UFW nu-l permite. Ca un container să nu fie public, publică portul doar local (-p 127.0.0.1:5678:5678) și pune în față un server web cu HTTPS, sau folosește regulile din documentația Docker pentru firewall.

Dacă ceva nu merge

• După ufw enable nu mai poți intra prin SSH. N-ai permis SSH sau portul lui. Din sesiunea rămasă deschisă: sudo ufw allow OpenSSH (sau portul tău). Dacă nu mai ai nicio sesiune, scrie-ne: îți spunem ce opțiuni ai, de exemplu refacerea dintr-un snapshot.
• apt upgrade întreabă ceva despre un fișier de configurare. Dacă n-ai modificat fișierul, alege varianta pachetului (install the package maintainer's version); dacă l-ai modificat, păstrează-l pe al tău.
• Un site sau o aplicație nu mai răspunde după firewall. Portul ei nu e permis. Adaugă-l (pașii 11 sau 14).
• Verificarea uptime spune că site-ul nu răspunde. Botul nostru verifică din afară, ca orice vizitator; portul site-ului trebuie să fie deschis în firewall (vezi Serverul VPS: backup și monitorizare).