---
title: "Debian 12: базовая настройка и hardening для production"
date: 2026-05-22
draft: false
description: "Пошаговая настройка чистого Debian 12 (Bookworm) для production: SSH, firewall, fail2ban, swap, sysctl, автообновления, логи, бэкап конфигов."
tags: ["debian-12", "security", "hardening", "ssh", "ufw", "fail2ban", "sysctl", "production", "linux"]
categories: ["Безопасность"]
series: ["Linux Hardening"]
series_order: 1
---

# Debian 12: базовая настройка и hardening для production

Поставил чистый Debian 12 и думаешь сразу накатывать приложения? Не торопись. Час на базовую настройку сейчас - это недели сэкономленного времени на разгребание последствий взлома или падения.

Статья покрывает всё что нужно для production-сервера без контейнеров. Пройдёшь по шагам и получишь сервер с закрытым SSH, firewall, защитой от брутфорса, ограничением ресурсов ядра и автоматическими обновлениями безопасности. Docker - в следующей статье серии.

## Исходные данные

- Чистый Debian 12 (Bookworm)
- Root доступ по SSH
- Статический IP

Проверь версию:

```bash
lsb_release -a
```

Ожидаемый вывод:
```
Distributor ID: Debian
Description:    Debian GNU/Linux 12 (bookworm)
Release:        12
Codename:       bookworm
```

Все команды выполняются от `root` если не указано иное.

## Обновление системы

```bash
apt update
apt upgrade -y
apt dist-upgrade -y
apt autoremove -y
```

Проверь нужна ли перезагрузка:

```bash
[ -f /var/run/reboot-required ] && echo "Reboot needed" || echo "No reboot needed"
```

Если нужна - перезагрузись:

```bash
reboot
```

## Базовые утилиты

```bash
apt install -y \
  sudo curl wget git vim htop iotop iftop \
  net-tools dnsutils tcpdump screen tmux rsync \
  util-linux unzip ca-certificates gnupg2 lsb-release \
  smartmontools
```

## Настройка системы

### Hostname

```bash
hostnamectl set-hostname srv01.example.com
```

Добавь в `/etc/hosts`:

```bash
nano /etc/hosts
```

```
127.0.0.1       localhost
203.0.113.10    srv01.example.com srv01

::1             localhost ip6-localhost ip6-loopback
ff02::1         ip6-allnodes
ff02::2         ip6-allrouters
```

Замени `203.0.113.10` на реальный IP сервера, `srv01.example.com` - на своё имя.

Проверь FQDN:

```bash
hostname -f
# srv01.example.com
```

### Timezone

```bash
timedatectl set-timezone Europe/Moscow
```

Проверь:

```bash
timedatectl
```

### Локаль

```bash
apt install -y locales
dpkg-reconfigure locales
```

Выбери `en_US.UTF-8` как основную. Добавь `ru_RU.UTF-8` если нужна кириллица в системных сообщениях.

Проверь:

```bash
locale
# LANG=en_US.UTF-8
```

## Пользователь и SSH

### Создание пользователя

Root сессия - одна ошибка без возможности откатиться. `sudo` даёт контроль и лог действий. Создай непривилегированного пользователя:

```bash
adduser admin
```

Добавь в sudo:

```bash
usermod -aG sudo admin
```

Проверь:

```bash
groups admin
# admin : admin sudo
```

### SSH ключи

На своей рабочей машине сгенерируй ключ:

```bash
# Linux/macOS
ssh-keygen -t ed25519 -C "admin@srv01"
```

```powershell
# Windows
ssh-keygen -t ed25519
```

Скопируй публичный ключ на сервер:

```bash
# Linux/macOS
ssh-copy-id admin@203.0.113.10
```

```powershell
# Windows
type $env:userprofile\.ssh\id_ed25519.pub | ssh admin@203.0.113.10 "mkdir -m 700 -p ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"
```

Проверь вход по ключу - не должен спрашивать пароль:

```bash
ssh admin@203.0.113.10
```

### SSH hardening

Залогинься под `admin` и открой конфиг:

```bash
sudo nano /etc/ssh/sshd_config
```

Замени содержимое (или найди и измени каждый параметр):

```
# Нестандартный порт - отсекает 90% ботов
Port 2222

# Только ключи
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# Запретить root логин
PermitRootLogin no

# Только ключи, без паролей
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no

# Ограничения сессий
MaxAuthTries 3
MaxSessions 3
LoginGraceTime 30

# Таймауты - отключать неактивные сессии
ClientAliveInterval 300
ClientAliveCountMax 2

# Отключить лишнее
X11Forwarding no
PrintMotd no
UsePAM yes
AcceptEnv LANG LC_*

# Только IPv4 (убери если используешь IPv6)
AddressFamily inet
```

**КРИТИЧНО:** Перед перезапуском SSH открой вторую сессию и не закрывай её - страховка если что-то пойдёт не так.

Проверь конфиг на ошибки:

```bash
sudo sshd -t
```

Нет вывода - нет ошибок. Перезапусти:

```bash
sudo systemctl restart sshd
```

В новом терминале проверь подключение на новом порту:

```bash
ssh -p 2222 admin@203.0.113.10
```

Если работает - старые сессии можно закрывать.

### SSH banner (опционально)

Создай предупреждение при входе:

```bash
sudo nano /etc/ssh/banner
```

```
###############################################################################
#  Доступ только для авторизованных пользователей.                            #
#  Все действия логируются.                                                   #
#  Несанкционированный доступ преследуется по закону.                         #
###############################################################################
```

Добавь в `sshd_config`:

```
Banner /etc/ssh/banner
```

Перезапусти SSH:

```bash
sudo systemctl restart sshd
```

## Firewall (UFW)

**Важно:** сначала настраиваем правила, потом включаем. Иначе заблокируешь себя.

```bash
sudo apt install -y ufw
```

Политика по умолчанию:

```bash
# Блокировать все входящие
sudo ufw default deny incoming

# Разрешить все исходящие
sudo ufw default allow outgoing
```

Разрешаем SSH на новом порту:

```bash
# Замени 2222 на свой порт если менял
sudo ufw allow 2222/tcp comment 'SSH'
```

Включаем firewall:

```bash
sudo ufw enable
```

Проверь статус:

```bash
sudo ufw status verbose
```

Ожидаемый вывод:
```
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
2222/tcp                   ALLOW IN    Anywhere                   # SSH
2222/tcp (v6)              ALLOW IN    Anywhere (v6)              # SSH
```

### Rate limiting на SSH

```bash
# Блокировать IP после 6 подключений за 30 секунд
sudo ufw limit 2222/tcp comment 'SSH rate limit'
```

### Открытие дополнительных портов

Когда будешь ставить сервисы - открывай только нужные порты:

```bash
# HTTP/HTTPS
sudo ufw allow 80/tcp comment 'HTTP'
sudo ufw allow 443/tcp comment 'HTTPS'

# PostgreSQL только с конкретного IP
sudo ufw allow from 192.168.1.10 to any port 5432 comment 'PostgreSQL'
```

Проверь что слушает на хосте:

```bash
ss -tulnp
```

Всё что слушает - должно быть либо закрыто firewall, либо намеренно открыто.

## Fail2ban

```bash
sudo apt install -y fail2ban
```

Создай локальный конфиг - не редактируй `jail.conf`, он перезаписывается при обновлении:

```bash
sudo nano /etc/fail2ban/jail.local
```

```ini
[DEFAULT]
# Бан на 1 час
bantime = 3600
# За 10 минут
findtime = 600
# После 3 неудачных попыток
maxretry = 3
# Не банить свои IP
ignoreip = 127.0.0.1/8 ::1
# Явно указываем backend - важно для совместимости в серии Ubuntu/Rocky
backend = systemd

[sshd]
enabled = true
port = 2222
filter = sshd
maxretry = 3
bantime = 3600
```

Замени `2222` на свой SSH порт.

Запусти:

```bash
sudo systemctl enable fail2ban
sudo systemctl start fail2ban
```

Проверь статус:

```bash
sudo fail2ban-client status
```

```
Status
|- Number of jail:      1
`- Jail list:   sshd
```

Проверь статус конкретного jail:

```bash
sudo fail2ban-client status sshd
```

## Swap

Swap в виде файла гибче раздела: можно увеличить или уменьшить без переразбивки диска.

### Создание swap файла

Проверь текущий swap:

```bash
free -h
sudo swapon --show
```

Создай файл (пример - 2GB):

```bash
# Создать файл нужного размера
sudo fallocate -l 2G /swapfile
```

Если `fallocate` не поддерживается файловой системой:

```bash
sudo dd if=/dev/zero of=/swapfile bs=1M count=2048 status=progress
```

Установи права - swap файл не должен читаться другими пользователями:

```bash
sudo chmod 600 /swapfile
```

Инициализируй и активируй:

```bash
# Разметить как swap
sudo mkswap /swapfile

# Включить
sudo swapon /swapfile
```

Проверь:

```bash
free -h
sudo swapon --show
```

Добавь в `/etc/fstab` для автомонтирования после перезагрузки:

```bash
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab
```

### Настройка swappiness

`swappiness` определяет агрессивность использования swap. Для production снижаем - swap только когда RAM заполнена на 90%+:

```bash
# Проверить текущее значение (по умолчанию 60)
cat /proc/sys/vm/swappiness
```

Установи постоянно:

```bash
echo 'vm.swappiness=10' | sudo tee -a /etc/sysctl.d/99-swap.conf
sudo sysctl -p /etc/sysctl.d/99-swap.conf
```

### Изменение размера swap (когда потребуется)

```bash
# Отключить текущий swap
sudo swapoff /swapfile

# Изменить размер (пример - увеличить до 4GB)
sudo fallocate -l 4G /swapfile

# Переинициализировать
sudo mkswap /swapfile

# Включить
sudo swapon /swapfile
```

Проверь результат:

```bash
free -h
```

Запись в `/etc/fstab` менять не нужно - путь тот же.

### Удаление swap (если потребуется)

```bash
sudo swapoff /swapfile
sudo rm /swapfile
```

Удали строку из `/etc/fstab`:

```bash
sudo sed -i '/\/swapfile/d' /etc/fstab
```

## Sysctl - защита ядра

Создай отдельный файл - чище чем писать в `/etc/sysctl.conf`:

```bash
sudo nano /etc/sysctl.d/99-hardening.conf
```

```
# Защита от SYN flood
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2

# Игнорировать ICMP redirects (защита от MITM)
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0

# Не отправлять ICMP redirects
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0

# Игнорировать source routed packets
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0

# Защита от IP spoofing
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# Логировать подозрительные пакеты
net.ipv4.conf.all.log_martians = 1

# Защита от time-wait assassination
net.ipv4.tcp_rfc1337 = 1

# Отключить IPv6 если не используешь
# net.ipv6.conf.all.disable_ipv6 = 1
# net.ipv6.conf.default.disable_ipv6 = 1
```

Примени:

```bash
sudo sysctl -p /etc/sysctl.d/99-hardening.conf
```

Проверь что применилось:

```bash
sudo sysctl net.ipv4.tcp_syncookies
# net.ipv4.tcp_syncookies = 1
```

## Автообновления безопасности

```bash
sudo apt install -y unattended-upgrades apt-listchanges
```

```bash
sudo nano /etc/apt/apt.conf.d/50unattended-upgrades
```

Раскомментируй/измени:

```
Unattended-Upgrade::Mail "root";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Automatic-Reboot "false";
```

`Automatic-Reboot "false"` - важно для production. Перезагрузку после обновления ядра делать вручную в удобное время.

Включи:

```bash
sudo dpkg-reconfigure -plow unattended-upgrades
```

Выбери `Yes`.

Настрой расписание:

```bash
sudo nano /etc/apt/apt.conf.d/10periodic
```

```
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";
```

Проверь что сервис работает:

```bash
sudo systemctl status unattended-upgrades
```

## Отключение ненужных сервисов (при наличии)

Посмотри что запущено:

```bash
systemctl list-units --type=service --state=running
```

Стандартные кандидаты на отключение - проверь что не используешь перед отключением:

```bash
# Bluetooth - на сервере не нужен
sudo systemctl disable --now bluetooth.service

# avahi-daemon - mDNS/DNS-SD, нужен редко
sudo systemctl disable --now avahi-daemon.service

# ModemManager - управление модемами
sudo systemctl disable --now ModemManager.service
```

Проверь что слушает на сетевых портах:

```bash
ss -tulnp
```

Всё незнакомое - выясни что это и реши нужно ли.

## Логи и ротация

### Ограничение journald

```bash
sudo nano /etc/systemd/journald.conf
```

Раскомментируй/измени:

```
SystemMaxUse=500M
SystemMaxFileSize=100M
MaxRetentionSec=1month
```

Перезапусти:

```bash
sudo systemctl restart systemd-journald
```

Проверь размер:

```bash
sudo journalctl --disk-usage
```

На чистом Debian 12 rsyslog не установлен - логи пишутся только в journald. Настройки выше достаточно. 
Если устанавливаешь rsyslog отдельно - создай /etc/logrotate.d/rsyslog с правилами ротации вручную.

## Мониторинг диска

На VPS имя устройства зависит от гипервизора - не всегда `/dev/sda`. Определи актуальное:

```bash
# Найти дисковые устройства
lsblk -d -o NAME,TYPE | grep disk
# NAME TYPE
# vda  disk
#
# Результат зависит от гипервизора и провайдера:
# /dev/sda  - KVM у некоторых провайдеров, Xen
# /dev/vda  - KVM (наиболее распространённый вариант)
# /dev/xvda - Xen
```

Проверь состояние:

```bash
# Замени vda на своё устройство
sudo smartctl -H /dev/vda
```

Ожидаемый вывод:
```
# ATA диски:
# SMART overall-health self-assessment test result: PASSED
#
# SCSI/NVMe диски (типично для VPS):
# SMART Health Status: OK
#
# Оба варианта означают одно: диск здоров
```

Если `FAILED` - диск умирает. Срочно бэкап и замена.

Детали SMART:

```bash
sudo smartctl -a /dev/vda
```

Обращай внимание на `Reallocated_Sector_Ct`, `Pending_Sector_Count`, `Offline_Uncorrectable` - если ненулевые, диск проблемный.

Примечание:
На виртуальных дисках (VMware, KVM) SMART может быть недоступен: `SMART support is: Unavailable - device lacks SMART capability.`
В этом случае smartctl полезен только для физических серверов.
На VPS ориентируйся на мониторинг от провайдера.

## Бэкап конфигов

Конфиги на диске - не бэкап. Скрипт архивирует `/etc/` и SSH ключи.

```bash
nano ~/backup-configs.sh
```

```bash
#!/bin/bash

BACKUP_DIR="$HOME/backups"
DATE=$(date +%Y%m%d_%H%M%S)
BACKUP_FILE="$BACKUP_DIR/config_backup_$DATE.tar.gz"

mkdir -p "$BACKUP_DIR"

# Сохранить список установленных пакетов
dpkg --get-selections > "$HOME/installed-packages.txt"

# Архивировать конфиги и SSH ключи
sudo tar -czf "$BACKUP_FILE" \
    /etc/ \
    /root/.ssh/ \
    /home/*/.ssh/ \
    "$HOME/installed-packages.txt" \
    2>/dev/null

echo "Backup: $BACKUP_FILE"
ls -lh "$BACKUP_FILE"

# Удалить бэкапы старше 30 дней
find "$BACKUP_DIR" -name "config_backup_*.tar.gz" -mtime +30 -delete
```

Права и первый запуск:

```bash
chmod +x ~/backup-configs.sh
~/backup-configs.sh
```

Ожидаемый вывод:
```
Backup: /home/admin/backups/config_backup_20260522_030000.tar.gz
-rw-r--r-- 1 root root 1.2M May 22 03:00 /home/admin/backups/config_backup_20260522_030000.tar.gz
```

Автоматизация через cron (каждое воскресенье в 3:00):

```bash
crontab -e
```

```
0 3 * * 0 /home/admin/backup-configs.sh >> /var/log/backup-configs.log 2>&1
```

### Восстановление

Восстановить конфиги:

```bash
sudo tar -xzf ~/backups/config_backup_ДАТА.tar.gz -C /
```

Восстановить список пакетов:

```bash
sudo dpkg --set-selections < ~/installed-packages.txt
sudo apt-get dselect-upgrade
```

## Финальная проверка
```bash
# Открытые порты
ss -tulnp

# Статус firewall
sudo ufw status verbose

# Статус fail2ban
sudo fail2ban-client status sshd

# Состояние диска
sudo smartctl -H /dev/vda

# Swap
free -h
```

## Что дальше

Сервер готов к установке приложений. База одинакова для любой нагрузки - веб, база данных, почта.

Если следующий шаг - контейнеры, читай продолжение серии: [Debian 12: настройка Docker-хоста для production](/posts/debian-12-docker-hardening/).

**Стек этой статьи:** Debian 12 (Bookworm) · UFW · Fail2ban · OpenSSH · unattended-upgrades · systemd · smartmontools