Create setup.sh
This commit is contained in:
6ministers
@@ -0,0 +1,230 @@
|
|||||||
|
#!/bin/bash
|
||||||
|
|
||||||
|
# --- НАСТРОЙКИ ---
|
||||||
|
# Работаем только от root
|
||||||
|
if [[ $EUID -ne 0 ]]; then
|
||||||
|
echo "Этот скрипт должен быть запущен от имени root"
|
||||||
|
exit 1
|
||||||
|
fi
|
||||||
|
|
||||||
|
set -e
|
||||||
|
|
||||||
|
# --- ЦВЕТА ---
|
||||||
|
GREEN='\033[1;32m'
|
||||||
|
YELLOW='\033[1;33m'
|
||||||
|
RED='\033[1;31m'
|
||||||
|
NC='\033[0m' # No Color
|
||||||
|
|
||||||
|
info() { echo -e "${GREEN}[INFO]${NC} $1"; }
|
||||||
|
warn() { echo -e "${YELLOW}[WARN]${NC} $1"; }
|
||||||
|
error() { echo -e "${RED}[ERROR]${NC} $1"; }
|
||||||
|
|
||||||
|
ask_yes_no() {
|
||||||
|
local prompt="$1"
|
||||||
|
while true; do
|
||||||
|
read -p "$prompt (y/n): " INPUT < /dev/tty
|
||||||
|
case "$INPUT" in
|
||||||
|
[yY]|[yY][eE][sS]) CONFIRM="y"; return 0 ;;
|
||||||
|
[nN]|[nN][oO]) CONFIRM="n"; return 1 ;;
|
||||||
|
*) echo -e "${YELLOW}Введите 'y' или 'n'.${NC}" ;;
|
||||||
|
esac
|
||||||
|
done
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- 1. ОБНОВЛЕНИЕ СИСТЕМЫ ---
|
||||||
|
update_system() {
|
||||||
|
info "Обновление пакетов и установка зависимостей..."
|
||||||
|
export DEBIAN_FRONTEND=noninteractive
|
||||||
|
apt-get -qqy update
|
||||||
|
apt-get -qqy -o Dpkg::Options::="--force-confdef" -o Dpkg::Options::="--force-confold" upgrade
|
||||||
|
apt-get -y autoremove
|
||||||
|
|
||||||
|
# Установка утилит:
|
||||||
|
# putty-tools - для конвертации ключей
|
||||||
|
# jq, git, curl, wget - нужны для работы многих скриптов и Coolify
|
||||||
|
# htop - для мониторинга ресурсов
|
||||||
|
apt-get install -y putty-tools curl wget jq git htop
|
||||||
|
|
||||||
|
info "Система обновлена и базовые утилиты установлены."
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- 2. НАСТРОЙКА SWAP (4GB) ---
|
||||||
|
configure_swap() {
|
||||||
|
info "--- ПРОВЕРКА SWAP ---"
|
||||||
|
|
||||||
|
# Проверяем, включен ли swap
|
||||||
|
if swapon --show | grep -q "partition\|file"; then
|
||||||
|
info "Swap уже активен. Пропуск создания."
|
||||||
|
elif [ -f /swapfile ]; then
|
||||||
|
warn "Файл /swapfile существует, но не активен. Пропуск во избежание конфликтов."
|
||||||
|
else
|
||||||
|
# OnlyOffice требователен к памяти, ставим 4GB для надежности
|
||||||
|
info "Создание Swap-файла размером 4GB..."
|
||||||
|
fallocate -l 4G /swapfile
|
||||||
|
chmod 600 /swapfile
|
||||||
|
mkswap /swapfile
|
||||||
|
swapon /swapfile
|
||||||
|
|
||||||
|
# Добавляем в fstab для автозагрузки
|
||||||
|
if ! grep -q "/swapfile" /etc/fstab; then
|
||||||
|
echo '/swapfile none swap sw 0 0' >> /etc/fstab
|
||||||
|
info "Swap добавлен в автозагрузку."
|
||||||
|
fi
|
||||||
|
|
||||||
|
info "✅ Swap (4GB) успешно создан и подключен."
|
||||||
|
fi
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- 3. ГЕНЕРАЦИЯ КЛЮЧЕЙ ---
|
||||||
|
generate_keys() {
|
||||||
|
info "--- ГЕНЕРАЦИЯ КЛЮЧЕЙ ---"
|
||||||
|
|
||||||
|
KEY_PATH="/root/coolify_root_key"
|
||||||
|
|
||||||
|
rm -f "${KEY_PATH}" "${KEY_PATH}.pub" "${KEY_PATH}.ppk"
|
||||||
|
|
||||||
|
info "Генерация Ed25519 ключа..."
|
||||||
|
ssh-keygen -t ed25519 -C "root-coolify-access" -f "$KEY_PATH" -N "" -q
|
||||||
|
|
||||||
|
info "Конвертация в PPK (для PuTTY)..."
|
||||||
|
puttygen "$KEY_PATH" -o "${KEY_PATH}.ppk" -O private
|
||||||
|
|
||||||
|
mkdir -p /root/.ssh
|
||||||
|
chmod 700 /root/.ssh
|
||||||
|
|
||||||
|
# Добавляем публичный ключ в authorized_keys
|
||||||
|
if ! grep -qf "${KEY_PATH}.pub" /root/.ssh/authorized_keys 2>/dev/null; then
|
||||||
|
cat "${KEY_PATH}.pub" >> /root/.ssh/authorized_keys
|
||||||
|
info "Ключ добавлен в authorized_keys."
|
||||||
|
fi
|
||||||
|
chmod 600 /root/.ssh/authorized_keys
|
||||||
|
|
||||||
|
# Сохраняем ключи в переменные перед удалением
|
||||||
|
PRIVATE_KEY_OPENSSH=$(cat "$KEY_PATH")
|
||||||
|
PRIVATE_KEY_PPK=$(cat "${KEY_PATH}.ppk")
|
||||||
|
|
||||||
|
# Удаляем ключи с диска (для безопасности)
|
||||||
|
rm -f "$KEY_PATH" "${KEY_PATH}.ppk" "${KEY_PATH}.pub"
|
||||||
|
info "Временные файлы ключей удалены с диска."
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- 4. ФАЕРВОЛ ---
|
||||||
|
setup_firewall() {
|
||||||
|
info "--- НАСТРОЙКА UFW ---"
|
||||||
|
|
||||||
|
if ! command -v ufw &> /dev/null; then
|
||||||
|
apt-get install -y ufw
|
||||||
|
fi
|
||||||
|
|
||||||
|
ufw --force reset > /dev/null
|
||||||
|
ufw default deny incoming
|
||||||
|
ufw default allow outgoing
|
||||||
|
|
||||||
|
ufw allow 22/tcp comment 'SSH'
|
||||||
|
ufw allow 80/tcp comment 'HTTP'
|
||||||
|
ufw allow 443/tcp comment 'HTTPS'
|
||||||
|
ufw allow 443/udp comment 'HTTP/3'
|
||||||
|
|
||||||
|
echo "y" | ufw enable
|
||||||
|
info "✅ Порты 22, 80, 443 открыты."
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- 5. SSH HARDENING (ROOT) ---
|
||||||
|
harden_ssh() {
|
||||||
|
info "--- НАСТРОЙКА SSH ---"
|
||||||
|
warn "ВНИМАНИЕ: Парольный вход будет отключен!"
|
||||||
|
|
||||||
|
SSHD_CONFIG="/etc/ssh/sshd_config"
|
||||||
|
cp $SSHD_CONFIG "${SSHD_CONFIG}.bak"
|
||||||
|
|
||||||
|
# Разрешаем root только по ключам, отключаем пароли
|
||||||
|
sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin prohibit-password/' "$SSHD_CONFIG"
|
||||||
|
sed -i 's/^#\?PubkeyAuthentication .*/PubkeyAuthentication yes/' "$SSHD_CONFIG"
|
||||||
|
sed -i 's/^#\?PasswordAuthentication .*/PasswordAuthentication no/' "$SSHD_CONFIG"
|
||||||
|
sed -i 's/^#\?ChallengeResponseAuthentication .*/ChallengeResponseAuthentication no/' "$SSHD_CONFIG"
|
||||||
|
# UsePAM оставляем (или yes), полное отключение может ломать сессии на некоторых OS
|
||||||
|
|
||||||
|
systemctl restart ssh
|
||||||
|
info "✅ SSH настроен: Root разрешен (только ключи), пароли отключены."
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- 6. DOCKER ---
|
||||||
|
install_docker() {
|
||||||
|
info "--- УСТАНОВКА DOCKER ---"
|
||||||
|
if ! command -v docker &> /dev/null; then
|
||||||
|
curl -fsSL https://get.docker.com -o get-docker.sh
|
||||||
|
sh get-docker.sh
|
||||||
|
rm get-docker.sh
|
||||||
|
info "Docker установлен."
|
||||||
|
else
|
||||||
|
info "Docker уже установлен."
|
||||||
|
fi
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- 7. FAIL2BAN ---
|
||||||
|
install_fail2ban() {
|
||||||
|
info "--- FAIL2BAN ---"
|
||||||
|
if ! command -v fail2ban-client &> /dev/null; then
|
||||||
|
apt-get install -y fail2ban
|
||||||
|
fi
|
||||||
|
|
||||||
|
cat <<EOF > /etc/fail2ban/jail.local
|
||||||
|
[sshd]
|
||||||
|
enabled = true
|
||||||
|
port = ssh
|
||||||
|
filter = sshd
|
||||||
|
logpath = /var/log/auth.log
|
||||||
|
maxretry = 3
|
||||||
|
bantime = 3600
|
||||||
|
EOF
|
||||||
|
systemctl restart fail2ban
|
||||||
|
systemctl enable fail2ban
|
||||||
|
info "✅ Fail2Ban активен."
|
||||||
|
}
|
||||||
|
|
||||||
|
# --- ЗАПУСК ---
|
||||||
|
echo ""
|
||||||
|
echo "Этот скрипт подготовит сервер для Coolify/Docker."
|
||||||
|
echo "Будет настроен: Swap (4GB), Docker, UFW, SSH (Key-only), Fail2ban."
|
||||||
|
echo ""
|
||||||
|
ask_yes_no "Начать настройку?"
|
||||||
|
if [[ "$CONFIRM" == "n" ]]; then exit 0; fi
|
||||||
|
|
||||||
|
update_system
|
||||||
|
configure_swap
|
||||||
|
generate_keys
|
||||||
|
setup_firewall
|
||||||
|
install_docker
|
||||||
|
harden_ssh
|
||||||
|
install_fail2ban
|
||||||
|
|
||||||
|
# --- ОТЧЕТ ---
|
||||||
|
clear
|
||||||
|
echo ""
|
||||||
|
echo -e "${GREEN}==========================================================${NC}"
|
||||||
|
echo -e "${GREEN} НАСТРОЙКА ЗАВЕРШЕНА УСПЕШНО${NC}"
|
||||||
|
echo -e "${GREEN}==========================================================${NC}"
|
||||||
|
echo ""
|
||||||
|
echo "IP сервера: $(curl -s4 https://ifconfig.me)"
|
||||||
|
echo "Пользователь: root"
|
||||||
|
echo "Порт SSH: 22"
|
||||||
|
echo "Swap: Активен (4GB)"
|
||||||
|
echo "Docker: $(docker --version)"
|
||||||
|
echo ""
|
||||||
|
echo -e "${YELLOW}!!! СКОПИРУЙТЕ КЛЮЧИ ПРЯМО СЕЙЧАС !!!${NC}"
|
||||||
|
echo "Ключи УДАЛЕНЫ с диска сервера. Вы видите их в последний раз."
|
||||||
|
echo "Если вы закроете терминал без сохранения, доступ будет утерян."
|
||||||
|
echo ""
|
||||||
|
echo "----------------------------------------------------------"
|
||||||
|
echo "PRIVATE KEY (OpenSSH) - Вставьте этот ключ в Coolify:"
|
||||||
|
echo "----------------------------------------------------------"
|
||||||
|
echo "$PRIVATE_KEY_OPENSSH"
|
||||||
|
echo ""
|
||||||
|
echo "----------------------------------------------------------"
|
||||||
|
echo "PRIVATE KEY (PuTTY .ppk) - Если нужен доступ через Windows:"
|
||||||
|
echo "----------------------------------------------------------"
|
||||||
|
echo "$PRIVATE_KEY_PPK"
|
||||||
|
echo "----------------------------------------------------------"
|
||||||
|
echo ""
|
||||||
|
echo -e "${GREEN}Готово. Теперь добавьте этот сервер в Coolify, используя OpenSSH ключ.${NC}"
|
||||||
|
echo ""
|
||||||
Reference in New Issue
Block a user