دليل الإعداد الأولي لـ VPS: قائمة تحقق الخادم الآمن

ssh root@IP_الخادم

# معلومات نظام التشغيل
cat /etc/os-release

# موارد النظام
free -h
df -h
nproc

# وقت التشغيل
uptime

# لـ Ubuntu/Debian
apt update && apt upgrade -y

# تنظيف الحزم غير الضرورية
apt autoremove -y
apt autoclean

# لـ AlmaLinux/Rocky Linux
dnf update -y
dnf autoremove -y

# إنشاء مستخدم جديد
adduser admin

# إضافة إلى مجموعة sudo (Ubuntu/Debian)
usermod -aG sudo admin

# إضافة إلى مجموعة wheel (AlmaLinux/Rocky)
usermod -aG wheel admin

# التبديل إلى المستخدم والاختبار
su - admin
sudo whoami  # يجب أن يُخرج "root"
exit

# على جهازك المحلي، أنشئ زوج مفاتيح
ssh-keygen -t ed25519 -C "vps-admin"

# انسخ المفتاح العام إلى الخادم
ssh-copy-id admin@IP_الخادم

# أو يدوياً:
cat ~/.ssh/id_ed25519.pub
# الصق الناتج على الخادم:
mkdir -p /home/admin/.ssh
nano /home/admin/.ssh/authorized_keys
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh

nano /etc/ssh/sshd_config

# تعطيل تسجيل دخول root
PermitRootLogin no

# تعطيل المصادقة بكلمة المرور (بعد إعداد مفتاح SSH)
PasswordAuthentication no

# عدم السماح بكلمات المرور الفارغة
PermitEmptyPasswords no

# الحد الأقصى لمحاولات تسجيل الدخول
MaxAuthTries 3

# مهلة تسجيل الدخول
LoginGraceTime 30

# تغيير منفذ SSH (اختياري لكن موصى به)
Port 2222

# السماح لمستخدمين محددين فقط
AllowUsers admin

# اختبار التكوين
sshd -t

# إعادة تشغيل خدمة SSH
systemctl restart sshd

# اختبر الاتصال من طرفية جديدة!
ssh -p 2222 admin@IP_الخادم

# تثبيت UFW
apt install ufw -y

# السياسات الافتراضية
ufw default deny incoming
ufw default allow outgoing

# السماح بمنفذ SSH (استخدم 2222 إذا غيّرته)
ufw allow 2222/tcp
# أو للمنفذ الافتراضي:
# ufw allow ssh

# خدمات الويب (إذا لزم الأمر)
ufw allow 80/tcp
ufw allow 443/tcp

# تفعيل UFW
ufw enable

# التحقق من الحالة
ufw status verbose

# تشغيل firewalld
systemctl start firewalld
systemctl enable firewalld

# السماح بمنفذ SSH
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --permanent --remove-service=ssh
firewall-cmd --reload

# التحقق من الحالة
firewall-cmd --list-all

# تثبيت Fail2Ban
apt install fail2ban -y  # Ubuntu/Debian
# أو
dnf install fail2ban -y  # AlmaLinux/Rocky

# إنشاء تكوين محلي
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
nano /etc/fail2ban/jail.local

[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 5

[sshd]
enabled = true
port = 2222
logpath = /var/log/auth.log
maxretry = 3
bantime = 86400

# تشغيل Fail2Ban
systemctl start fail2ban
systemctl enable fail2ban

# التحقق من الحالة
fail2ban-client status
fail2ban-client status sshd

# التحقق من المنطقة الزمنية الحالية
timedatectl

# تعيين المنطقة الزمنية (مثال: بغداد)
timedatectl set-timezone Asia/Baghdad

# تفعيل مزامنة NTP
timedatectl set-ntp true

# التحقق
timedatectl status
date

# أدوات مفيدة
apt install -y \
  curl wget git vim htop \
  net-tools dnsutils \
  unzip tar \
  logwatch

# هل خدمة SSH تعمل؟
systemctl status sshd

# هل جدار الحماية نشط؟
ufw status  # أو: firewall-cmd --state

# هل Fail2Ban يعمل؟
fail2ban-client status

# هل النظام محدّث؟
apt list --upgradable 2>/dev/null | head -20

# المنافذ المفتوحة
ss -tlnp

# محاولات تسجيل الدخول الأخيرة
grep "Failed password" /var/log/auth.log | tail -10