Dedicated шасито пристига с root и публичен IP—полезна мощ, но и магнит за скенери, докато не го втвърдите. Първите 24 часа след доставка от EuroVDC в София (ЕС) трябва да намалят attack surface преди DNS, панели или клиентски данни да кацнат на машината. Този чеклист е оперативен, не театрален.
Поръчайте капацитет на dedicated сървър. Сложете admin пътищата зад Private VPN, за да не са SSH и панелите вечно отворени към света.
Час 0–2: инвентар и достъп
- Потвърдете, че IPMI/конзолни credentials работят преди мрежови промени.
- Запишете hostname, IP-та, RAID състояние и OS image в runbook.
- Създайте именуван admin потребител; root само за break-glass.
- Инсталирайте ключове; изключете password SSH щом key login работи.
Час 2–8: мрежов и OS baseline
- Firewall default-deny: разрешете само нужното (22 временно, после VPN-only; 80/443 когато сайтът е готов).
- Затворете неизползвани услуги; махнете default баласт от image ако има.
- Приложете security updates; reboot ако kernel изисква—по-добре сега, отколкото сред кампания.
- Включете автоматични security updates или календарно напомняне, което реално спазвате.
- Задайте timezone/NTP; грешни часовници чупят логове и TLS debug.
- Конфигурирайте fail2ban или еквивалент за всичко, което трябва да остане публично.
Час 8–16: admin път и тайни
- Вдигнете Private VPN (OpenVPN AS на частен VPS) и enroll-нете само admin устройства.
- Заключете SSH/panel портове към VPN subnet или dedicated VPN IP; останалото drop.
- Ротирайте временни пароли от delivery mail; тайните във vault, не в чат.
- Документирайте break-glass: конзола на доставчика ако VPN хост или firewall грешка ви заключи.
Час 16–24: бекъпи и доказателство
- Дефинирайте какво трябва да се възстановява (OS config, DB, media) и къде живеят snapshot/off-box копия.
- Направете един restore smoke-test—дори малък файл—преди „production ready“.
- Включете мониторинг (диск, load, auth грешки); alert към някой, който отговаря през нощта.
- Едва тогава насочете DNS или преместете трафик.
Разположението в София държи метала в ЕС контекст до другите ви EuroVDC натоварвания. Harden на ден едно бие преписване на incident бележки на ден три.
Често задавани въпроси
Мога ли да отложа harden до инсталация на приложението?
Не. Скенерите намират свежи IP-та бързо. Първо firewall и SSH; приложенията след това.
Достатъчен ли е нестандартен SSH порт?
Не—само defence-in-depth. Предпочитайте VPN-only SSH плюс ключове, не obscurity.
Нужен ли е Private VPN на ден едно?
Силно препоръчително за admin достъп. EuroVDC Private VPN дава dedicated OpenVPN AS exit за allow-list.
Ако се заключа?
Използвайте IPMI/конзола на доставчика като break-glass. Документирайте пътя преди да стегнете firewall.
Къде работи сървърът?
EuroVDC dedicated сървъри се доставят в София (ЕС).
Как да започна?
Вземете доставка на dedicated сървър, завършете този чеклист, после добавете Private VPN преди да отворите admin портове за екипа.
