前書き
新しいサーバーの最低限の構成をセットアップした後、ほとんどの場合に強く推奨される追加の手順がいくつかあります。 このガイドでは、推奨されているがオプションの手順に取り組むことにより、サーバーの構成を継続します。
前提条件と目標
このガイドを開始する前に、Ubuntu 14.04 initial server setupガイドを実行する必要があります。 これは、ユーザーアカウントを設定し、sudoを使用して特権の昇格を構成し、セキュリティのためにSSHをロックダウンするために必要です。
上記のガイドを完了したら、この記事を続けることができます。 このガイドでは、オプションの推奨コンポーネントの構成に焦点を当てます。 これには、ファイアウォール、ネットワークタイムプロトコルの同期、およびスワップファイルを使用してシステムをセットアップすることが含まれます。
基本的なファイアウォールの構成
ファイアウォールは、サーバーに基本レベルのセキュリティを提供します。 これらのアプリケーションは、承認したポート/サービスを除き、サーバー上のすべてのポートへのトラフィックを拒否する責任があります。 Ubuntuには、ファイアウォールポリシーの構成に使用できるufwというツールが付属しています。 私たちの基本的な戦略は、オープンにする正当な理由がないすべてのものをロックすることです。
ファイアウォールを有効化または再ロードする前に、ポリシーの例外を定義するルールを作成します。 まず、リモート管理のアクセスを維持できるように、SSH接続の例外を作成する必要があります。
SSHデーモンはデフォルトでポート22で実行され、デフォルトが変更されていない場合、ufwは名前でルールを実装できます。 したがって、notで変更されたSSHポートがある場合は、次のように入力して例外を有効にできます。
sudo ufw allow sshSSHデーモンがリッスンしているポートを変更した場合は、実際のポート番号とTCPプロトコルを指定して許可する必要があります。
sudo ufw allow 4444/tcpこれは最低限のファイアウォール構成です。 SSHポートのトラフィックのみが許可され、他のすべてのサービスにはアクセスできなくなります。 追加のサービスを実行する予定がある場合は、必要な各ポートでファイアウォールを開く必要があります。
従来のHTTP Webサーバーの実行を計画している場合、ポート80へのアクセスを許可する必要があります。
sudo ufw allow 80/tcpSSL / TLSを有効にしてWebサーバーを実行する場合は、そのポートへのトラフィックも許可する必要があります。
sudo ufw allow 443/tcpSMTP電子メールを有効にする必要がある場合は、ポート25を開く必要があります。
sudo ufw allow 25/tcp例外の追加が完了したら、次を入力して選択内容を確認できます。
sudo ufw show addedすべてが正常に見える場合は、次を入力してファイアウォールを有効にできます。
sudo ufw enable選択を確認するように求められるので、続行する場合は「y」を入力します。 これにより、作成した例外が適用され、他のすべてのトラフィックがブロックされ、起動時にファイアウォールが自動的に開始するように構成されます。
後で構成する可能性のある追加サービスのポートを明示的に開く必要があることに注意してください。 詳細については、configuring the ufw firewallに関する記事をご覧ください。
タイムゾーンとネットワークタイムプロトコルの同期を構成する
次の手順は、サーバーのローカライズ設定を設定し、ネットワークタイムプロトコル（NTP）同期を構成することです。
最初のステップでは、サーバーが正しいタイムゾーンで動作していることを確認します。 2番目の手順では、システムクロックをNTPサーバーのグローバルネットワークによって維持される標準時間に同期するようにシステムを構成します。 これは、非同期クロックから生じる可能性のあるいくつかの矛盾した動作を防ぐのに役立ちます。
タイムゾーンを構成する
最初のステップは、サーバーのタイムゾーンを設定することです。 これは、tzdataパッケージを再構成することで実行できる非常に簡単な手順です。
sudo dpkg-reconfigure tzdataサーバーの地理的地域を選択できるメニューシステムが表示されます。
エリアを選択すると、サーバーに適した特定のタイムゾーンを選択できるようになります。
選択したタイムゾーンを使用するようにシステムが更新され、結果が画面に出力されます。
Current default time zone: 'America/New_York'
Local time is now: Mon Nov 3 17:00:11 EST 2014.
Universal Time is now: Mon Nov 3 22:00:11 UTC 2014.次に、NTPの構成に進みます。
NTP同期を構成する
タイムゾーンを設定したら、NTPを構成する必要があります。 これにより、コンピューターが他のサーバーと同期し続けることができ、正しい時間を使用する操作の予測性が向上します。
NTP同期には、ntpというサービスを使用します。このサービスは、Ubuntuのデフォルトのリポジトリからインストールできます。
sudo apt-get update
sudo apt-get install ntpUbuntuでNTP同期を設定するために必要なことはこれだけです。 デーモンはブートのたびに自動的に起動し、システム時間を継続的に調整して、1日を通してグローバルNTPサーバーに合わせます。
NTP serversについて詳しく知りたい場合は、ここをクリックしてください。
スワップファイルを作成する
Linuxサーバーに「スワップ」を追加すると、実行中のプログラムのアクセス頻度の低い情報をRAMからディスク上の場所に移動できます。 ディスクに保存されたデータへのアクセスは、RAMへのアクセスよりもはるかに遅くなりますが、多くの場合、スワップを使用可能にすることは、アプリケーションの存続とクラッシュの違いになります。 これは、システムでデータベースをホストする予定がある場合に特に便利です。
Note
[。注意]＃＃
一般に、従来の回転式ハードドライブを使用するシステムではスワップが推奨されますが、SSDでスワップを使用すると、時間の経過とともにハードウェアの劣化の問題が発生する可能性があります。 この考慮事項のため、DigitalOceanまたはSSDストレージを利用する他のプロバイダーでスワップを有効にすることはお勧めしません。 そうすることは、あなたとあなたの隣人の基礎となるハードウェアの信頼性に影響を与える可能性があります。
サーバーのパフォーマンスを改善する必要がある場合は、Dropletをアップグレードすることをお勧めします。 これにより、一般により良い結果が得られ、サービスに影響を与える可能性のあるハードウェアの問題に寄与する可能性が低くなります。
スワップ領域の最適なサイズに関するアドバイスは、参照するソースによって大きく異なります。 一般に、システムのRAMの量と同じか2倍の量が、適切な出発点です。
fallocateユーティリティを使用して、スワップファイルに使用するスペースを割り当てます。 たとえば、4ギガバイトのファイルが必要な場合は、次のように入力して、/swapfileにあるスワップファイルを作成できます。
sudo fallocate -l 4G /swapfileファイルを作成した後、ファイルへのアクセスを制限して、他のユーザーまたはプロセスがそこに書かれているものを見ることができないようにする必要があります。
sudo chmod 600 /swapfileこれで、適切な権限を持つファイルが作成されました。 スワップ用にファイルをフォーマットするようにシステムに指示するには、次のように入力します。
sudo mkswap /swapfile次に、次のように入力して、スワップファイルを使用できることをシステムに伝えます。
sudo swapon /swapfileシステムはこのセッションでスワップファイルを使用していますが、システムファイルを変更して、サーバーがブート時に自動的にこれを行うようにする必要があります。 これを行うには、次のように入力します。
sudo sh -c 'echo "/swapfile none swap sw 0 0" >> /etc/fstab'この追加により、システムはブート時にスワップファイルを自動的に使用する必要があります。
ここからどこへ行く？
これで、Linuxサーバーの非常に適切な開始セットアップができました。 ここから、行くことができる場所がかなりあります。 最初に、現在の構成でサーバーのスナップショットを作成できます。
現在の構成のスナップショットを撮る
構成に満足しており、将来のインストールのベースとして使用したい場合は、DigitalOceanコントロールパネルからサーバーのスナップショットを取得できます。 2016年10月から、スナップショットの費用は、ファイルシステム内の使用済みスペースの量に基づいて、ギガバイトあたり月額0.05ドルです。
スナップショットの準備をするには、コマンドラインからサーバーをシャットダウンします。 実行中のシステムのスナップショットを取得することは可能ですが、電源を切ると、ファイルシステムの一貫性がより確実になります。
sudo poweroffこれで、DigitalOceanコントロールパネルで、サーバーの[スナップショット]タブにアクセスしてスナップショットを作成できます。
スナップショットを作成した後、作成プロセス中にイメージの[マイスナップショット]タブからスナップショットを選択することにより、そのイメージを将来のインストールのベースとして使用できます。
追加のリソースと次のステップ
ここから、パスはサーバーで何をしたいかに完全に依存します。 以下のガイドのリストは完全なものではありませんが、ユーザーが次に検討するより一般的な構成の一部を表しています。
結論
この時点までに、新しいサーバーの強固な基盤を構成する方法を知っている必要があります。 うまくいけば、あなたもあなたの次のステップのための良いアイデアを持っている。 サーバーに実装できるアイデアについては、サイトを自由に探索してください。