Технический сайт linuxgik.ru

rsync

Должен быть установлен на обеих машинах: на локальной и на сервере.
Порядок аргументов: сначала источник (что копируем), потом назначение (куда копируем).
Перед каждым прогоном — пробный запуск с -n. rsync может натворить много бед, если что-то указать неверно.

Завершающий слеш "/" у источника

Без слеша копируется сам каталог, со слешем — только его содержимое:

~]$ rsync -a /path/dir user@host:/dest/ → /dest/dir/...
~]$ rsync -a /path/dir/ user@host:/dest/ → /dest/...

Слеш в конце назначения ни на что не влияет. Путь назначения без начального / (user@host:html/) считается от домашнего каталога.

Деплой сайта

У обычного пользователя нет прав записи в /var/www/html/, поэтому деплой в два шага: через домашний каталог сервера.

1. Локальная машина → домашний каталог сервера:
   ~]$ rsync -nva --delete -e "ssh -p 2222" html/ user@host:html/ — проверка
   ~]$ rsync -a --delete -e "ssh -p 2222" html/ user@host:html/ — выполнение

2. На сервере → каталог веб-сервера:
   ~]$ sudo rsync -nva --delete ~/html/ /var/www/html/ — проверка
   ~]$ sudo rsync -a --delete ~/html/ /var/www/html/ — выполнение

   Другой владелец файлов — добавить --chown=apache:apache (на Debian/Ubuntu www-data).

Параметры

• -a — режим архива: рекурсия, ссылки, права, время, группа, владелец. Владелец и группа сохраняются, только если приёмник работает от root.
• -n — пробный прогон, -v — подробный вывод, -i — что именно меняется в каждом файле. В конце вывода должно быть (DRY RUN).
• -e "ssh -p 2222" — нестандартный порт SSH (для scp порт задаётся заглавной -P).
• --exclude 'assets/css' — исключить из переноса. Путь считается от корня источника и совпадает на любой глубине; '/assets/css' — только в корне. Исключённое не удаляется при --delete.
• --delete — удалить в назначении всё, чего нет в источнике. Самый опасный параметр: проверяйте путь назначения и строки deleting в выводе -nv.
• --mkpath — создать всю цепочку каталогов назначения. Без него создаётся только последний уровень.

Подробный разбор: Основы rsync.
Мануал: man rsync, онлайн-версия — rsync(1).

Команда scp

scp — копирует файлы между хостами по SSH. Работает подобно команде cp: сначала источник, потом назначение. Удалённый путь записывается как user@host:путь. Относительный путь считается от домашнего каталога, а user@host: — это сам домашний каталог.

Примеры:

• Файл на сервер —
  ~]$ scp file.txt user@host:/remote/dir/

• Файл с сервера в текущий каталог —
  ~]$ scp user@host:/remote/dir/file.txt .

• Каталог с сервера через другой порт —
  ~]$ scp -r -P 2222 user@host:/remote/dir .

Внимание:

• порт у scp задаётся заглавной -P, а у ssh и в rsync -e "ssh -p …" — строчной;
• для каталогов нужен -r;
• существующие файлы в назначении перезаписываются без вопросов, пробного режима нет;
• для больших и повторных копирований лучше rsync. Разработчики OpenSSH в релизе 8.0 (2019) назвали протокол scp устаревшим и рекомендовали sftp и rsync. Начиная с 9.0 (2022) команда scp по умолчанию работает через SFTP; прежний протокол включается флагом -O.

Мануал: man scp, онлайн-версия — scp(1).

Инструкция по настройке и запуску веб-сервера

Для AlmaLinux 8 и Debian. Команды для Debian собраны по документации и пока не проверены.

Порядок: DNS → пользователь → SSH (ключи → конфиг → SELinux → firewall → только потом применить) → веб-сервер → сертификат.
Новый порт SSH применяем после открытия его в firewall, иначе потеряем доступ к серверу.

Обозначения: your_domain.com, your_username, host, порт SSH — 2222.

1. DNS

• A-запись с IPv4 сервера для your_domain.com и www.your_domain.com, для IPv6 — AAAA.
• Проверка — ~]$ dig +short your_domain.com

Важно: DNS должен работать до получения сертификата.

2. Пользователь с sudo

Под root в консоли хостера (VNC):

Проверка: ~]# su - your_username, затем ~]$ sudo whoami → root. Дальше работаем по SSH под новым пользователем.

3. Настройка SSH

Для Windows 11: Настройка OpenSSH в Windows 11

3.1 Ключи

• ~]$ ssh-keygen -t ed25519 — на локальной машине.
• ~]$ ssh-copy-id your_username@host — отправить открытый ключ (пока порт 22).
• Без ssh-copy-id — добавить ~/.ssh/id_ed25519.pub в ~/.ssh/authorized_keys на сервере.
• Права на сервере: ~]$ chmod 700 ~/.ssh, ~]$ chmod 600 ~/.ssh/authorized_keys

Внимание: перед отключением паролей проверьте вход по ключу в новой сессии.

3.2 Конфигурация sshd

~]$ sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
~]$ sudo nano /etc/ssh/sshd_config

• Отключить пароли — PasswordAuthentication no
• Запретить вход root — PermitRootLogin no
• Сменить порт — Port 2222

• ~]$ sudo sshd -t — проверка синтаксиса (без вывода = ошибок нет).
• ~]$ sudo sshd -T | grep -Ei '^(port|passwordauthentication|permitrootlogin) ' — что sshd применит на самом деле.

На Debian в начале sshd_config подключается sshd_config.d/*.conf, и там действует первое найденное значение директивы. Если sshd -T показывает не то, что вы задали, ищите в этом каталоге.

⚠️ Пока не применяем: сначала 3.3 и 3.4.

3.3 SELinux: разрешить новый порт (только AlmaLinux)

• ~]$ sestatus — если disabled, шаг пропускаем.
• ~]$ sudo dnf install -y policycoreutils-python-utils
• ~]$ sudo semanage port -a -t ssh_port_t -p tcp 2222
• ~]$ semanage port -l | grep ssh — должно быть 2222, 22.

Debian: для sshd AppArmor ничего делать не нужно.

3.4 Firewall: открыть новый порт

Сервер в облаке — откройте порт ещё и в сетевом экране (security group) провайдера.

3.5 Применить и проверить

• AlmaLinux — ~]$ sudo systemctl reload sshd
• Debian — ~]$ sudo systemctl reload ssh
• Если systemctl is-active ssh.socket показывает active (Ubuntu 22.10+, возможны образы Debian), порт задаётся сокетом, и Port из sshd_config игнорируется: ~]$ sudo systemctl daemon-reload, затем ~]$ sudo systemctl restart ssh.socket
• ~]$ sudo ss -tlnp | grep 2222 — порт слушается.

Не закрывая старую сессию, в новом окне терминала:

• ~]$ ssh -p 2222 your_username@host — пускает без пароля
• ~]$ sudo whoami → root
• ~]$ ssh -p 2222 root@host — должен быть отказ

3.6 Закрыть порт 22

Только после успешной проверки порта 2222.

• AlmaLinux — ~]$ sudo firewall-cmd --permanent --remove-service=ssh, затем ~]$ sudo firewall-cmd --reload
• Debian — ~]$ sudo ufw delete allow 22/tcp

Чтобы не вводить порт, на локальной машине в ~/.ssh/config:

Host myserver
    HostName host
    User your_username
    Port 2222

4. Установка и запуск веб-сервера

Выберите один: Apache или Nginx.

4.1 Установка

4.2 Порты 80 и 443

Примечание: на моём сервере AlmaLinux 8 порты были открыты заранее (вероятно, образом хостера). Всегда проверяйте --list-all.

Проверка — с локальной машины, не с сервера: ~]$ curl -I http://your_domain.com

4.3 Виртуальный хост (Apache)

AlmaLinux: файл /etc/httpd/conf.d/your_domain.com.conf

<VirtualHost *:80>
    ServerName your_domain.com
    ServerAlias www.your_domain.com
    DocumentRoot /var/www/html

    ErrorLog /var/log/httpd/your_domain.com-error.log
    CustomLog /var/log/httpd/your_domain.com-access.log combined

    <Directory "/var/www/html">
        Options -Indexes +FollowSymLinks
        AllowOverride None
        Require all granted
    </Directory>
</VirtualHost>

• -Indexes — не показывать список файлов каталога. AllowOverride All — только если нужен .htaccess.
• AlmaLinux — ~]$ sudo apachectl configtest, затем ~]$ sudo systemctl reload httpd

Debian: файл в /etc/apache2/sites-available/your_domain.com.conf, в путях логов ${APACHE_LOG_DIR}/. Затем ~]$ sudo a2ensite your_domain.com.conf, ~]$ sudo a2dissite 000-default.conf, ~]$ sudo apache2ctl configtest, ~]$ sudo systemctl reload apache2

Nginx: файл в /etc/nginx/conf.d/ (Alma) или sites-available/ + ссылка в sites-enabled/ (Debian). Проверка — ~]$ sudo nginx -t. Пример конфигурации — в посте.

Тест: ~]$ echo '<h1>It works</h1>' | sudo tee /var/www/html/index.html

AlmaLinux: если после mv файлов в /var/www/html сайт отвечает 403 — ~]$ sudo restorecon -Rv /var/www/html

5. Сертификат Let's Encrypt

• Документация Let's Encrypt
• Документация certbot

Нужно: DNS указывает на сервер, порт 80 открыт, виртуальный хост с вашим доменом работает.

5.1 Установка certbot

# AlmaLinux 8
sudo dnf install -y epel-release
sudo dnf install -y certbot python3-certbot-apache mod_ssl   # Apache
sudo dnf install -y certbot python3-certbot-nginx            # Nginx

# Debian
sudo apt install -y certbot python3-certbot-apache           # Apache
sudo apt install -y certbot python3-certbot-nginx            # Nginx

5.2 AlmaLinux + Apache: ssl.conf

Пакет mod_ssl создаёт /etc/httpd/conf.d/ssl.conf с хостом на 443 и самоподписанным сертификатом localhost.crt. Он может мешать certbot, поэтому убираем с копией:

~]$ sudo mv /etc/httpd/conf.d/ssl.conf /etc/httpd/conf.d/ssl.conf.bak, затем ~]$ sudo systemctl reload httpd

5.3 Получение сертификата

• Apache — ~]$ sudo certbot --apache -d your_domain.com -d www.your_domain.com
• Nginx — ~]$ sudo certbot --nginx -d your_domain.com -d www.your_domain.com (не проверено)
• Проверка — ~]$ curl -I https://your_domain.com, срок — ~]$ sudo certbot certificates

5.4 Автоматическое продление

• ~]$ sudo certbot renew --dry-run — только имитация, ничего не включает.
• ~]$ systemctl list-timers | grep certbot — таймер должен быть в списке.
• AlmaLinux, если пусто — ~]$ sudo systemctl enable --now certbot-renew.timer. На Debian таймер включается пакетом.

6. Рекомендации по безопасности и эксплуатации

• При тестировании SSH держите одну открытую сессию. Запасной вход — консоль хостера.
• Порты открывайте и в сетевом экране провайдера, если сервер в облаке.
• Перед правкой делайте копию конфигураций: ~]$ sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
• fail2ban на нестандартном порту: в /etc/fail2ban/jail.local секция [sshd] с enabled = true и port = 2222.
• Следите за сроком сертификата: ~]$ sudo certbot certificates
• Обновления: ~]$ sudo dnf update (Alma), ~]$ sudo apt update && sudo apt upgrade (Debian).

Типичные проблемы и подробный разбор: Настройка и запуск веб-сервера.
Мануалы: man sshd_config, man firewall-cmd, man ufw; онлайн — sshd_config(5).