Первая настройка VPS на Ubuntu

Эта инструкция для нового сервера с Ubuntu 24.04 или 26.04, куда хостер дал доступ под root по паролю. Как подключиться впервые, описано в статье как подключиться к VPS по SSH.

Главное правило: не закрывайте текущую SSH-сессию, пока не проверили вход в новом окне. Если ошибиться в настройках SSH и закрыть сессию, вы потеряете доступ к серверу. Тогда придётся заходить через консоль в панели хостера.

Проверено на сервере 5 октября 2026 года: команды из этой статьи выполнены по порядку на новом VPS с Ubuntu 26.04. Для Ubuntu 24.04 команды те же, но на ней мы их не прогоняли.

Команды ниже вводите на сервере. Вместо deploy подставьте своё имя пользователя, вместо 203.0.113.10 адрес вашего сервера.

1. Обновите систему

apt update && apt upgrade -y

apt update обновляет список пакетов, apt upgrade -y ставит новые версии без лишних вопросов. Если после обновления система предложит перезагрузку, выполните reboot и подключитесь снова.

2. Создайте пользователя с sudo

Работать под root постоянно не стоит: любая ошибка в команде бьёт по всей системе.

adduser deploy
usermod -aG sudo deploy

Первая команда создаёт пользователя и спрашивает пароль. Вторая добавляет его в группу sudo, чтобы он мог выполнять команды администратора через sudo.

3. Настройте вход по SSH-ключу

Ключ создают на вашем компьютере, не на сервере. В Windows PowerShell, macOS или Linux:

ssh-keygen -t ed25519

Команда создаёт пару ключей: закрытый остаётся у вас, открытый (файл .pub) отправляется на сервер. Затем на вашем компьютере (Linux и macOS):

ssh-copy-id deploy@203.0.113.10

Команда копирует открытый ключ в файл ~/.ssh/authorized_keys пользователя на сервере. В Windows ssh-copy-id нет, способ описан в статье про SSH.

4. Проверьте вход по ключу в новом окне

Не закрывая первую сессию, откройте второе окно терминала:

ssh deploy@203.0.113.10
sudo whoami

Вход должен пройти без пароля от сервера (если вы задали парольную фразу для ключа, система спросит её). Команда sudo whoami должна ответить root: это значит, что sudo у пользователя работает. Если что-то не так, исправляйте это сейчас, а следующий шаг пропустите.

5. Отключите вход по паролю и вход root

Только после успешной проверки из пункта 4. Создайте файл с настройками:

sudo nano /etc/ssh/sshd_config.d/01-hardening.conf

Внутри:

PasswordAuthentication no
PermitRootLogin no

PasswordAuthentication no запрещает вход по паролю, PermitRootLogin no запрещает вход под root. Имя файла начинается с 01, потому что sshd читает файлы по порядку и берёт первое найденное значение параметра. Файл от хостера, например 50-cloud-init.conf, может включать пароль, и ваш файл должен идти раньше.

Проверьте синтаксис и применённые значения, затем перезагрузите службу:

sudo sshd -t
sudo sshd -T | grep -E 'passwordauthentication|permitrootlogin'
sudo systemctl reload ssh

sshd -t ничего не выводит, если ошибок нет. sshd -T показывает действующие настройки, там должно быть no в обеих строках. reload ssh применяет изменения без разрыва текущих соединений.

Снова откройте третье окно и проверьте вход по ключу. Дополнительно попробуйте зайти под root: сервер должен отказать. Только тогда закрывайте старые сессии.

6. Включите файрвол ufw

ufw это простая надстройка над файрволом Ubuntu. Сначала разрешите SSH, потом включайте:

sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status

allow OpenSSH открывает порт SSH (22). enable включает файрвол, система предупредит о возможном разрыве соединения: порт SSH уже разрешён, поэтому ответьте y. status показывает правила. Если вы поменяли порт SSH, откройте именно его, иначе потеряете доступ.

Позже для сайта добавьте порты 80 и 443, например sudo ufw allow 'Nginx Full' после установки nginx.

7. Автоматические обновления безопасности

sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Первая команда ставит пакет (на некоторых образах он уже есть). Вторая открывает окно настройки: выберите «Да», и система будет сама ставить обновления безопасности. Обычные обновления пакетов и перезагрузки на вас, их делайте вручную раз в одну-две недели.

8. Часовой пояс

timedatectl list-timezones | grep Moscow
sudo timedatectl set-timezone Europe/Moscow
timedatectl

Первая команда ищет нужное имя в списке, вторая устанавливает пояс, третья показывает текущее время и пояс. Свой пояс подберите из списка.

Что делать дальше

Сервер готов к установке программ. Дальше можно поставить Docker, развернуть n8n или WordPress. Настройте также резервные копии. Если сервера ещё нет, начните с подбора VPS.