שרת לינוקס בענן: בחירה, הקמה והקשחה בשעה הראשונה

איך בוחרים שרת לינוקס בענן, ומה עושים בשעה הראשונה אחרי שהוא עולה? בוחרים הפצה עם תמיכה ארוכה, בודקים משאבים, מיקום, הגנת DDoS וגיבויים, ומיד אחרי ההקמה סוגרים את מה שפתוח: משתמש רגיל עם sudo, כניסה במפתח SSH בלבד, חומת אש ועדכוני אבטחה אוטומטיים. המדריך הזה עובר על כל השלבים, עם פקודות שאפשר להעתיק.

שרת לינוקס בענן (VPS Linux) הוא מכונה וירטואלית עם מעבד, זיכרון ודיסק שמוקצים לכם, וגישת root מלאה. אתם מחליטים מה מותקן עליו: שרת Web, קונטיינרים, מסד נתונים או אפליקציה שכתבתם. אם עדיין לא החלטתם בין לינוקס ל-Windows, קראו קודם את ההשוואה VPS Windows או Linux: איך בוחרים.

למה דווקא שרת לינוקס

שתי סיבות מעשיות. להפצות כמו Ubuntu ו-Debian אין עלות רישוי, כך שכל התשלום הולך למשאבים. ומערכת ההפעלה עצמה צורכת מעט זיכרון ומעבד, כך שיותר מהשרת פנוי לאפליקציה.

רוב תוכנות השרת הנפוצות, כמו Nginx, PostgreSQL, MariaDB ו-Redis, מותקנות ממאגרי ההפצה בפקודה אחת. Windows נדרש בעיקר כשהתוכנה נבנתה לסביבת Microsoft, למשל ASP.NET ישן או MSSQL.

איזו הפצה לבחור: Ubuntu LTS, Debian או Rocky/Alma

לשרת בוחרים גרסה עם תמיכה ארוכה, כדי לא לשדרג מערכת הפעלה כל שנה. כך נראות תקופות התמיכה לפי האתרים הרשמיים של ההפצות:

הפצה	גרסאות רלוונטיות	תקופת התמיכה	מתאימה במיוחד ל
Ubuntu LTS	22.04, 24.04	חמש שנים של עדכוני אבטחה רגילים לכל גרסת LTS: 22.04 עד מאי 2027, 24.04 עד מאי 2029. הארכה נוספת במנוי Ubuntu Pro	פרויקטים חדשים, Docker, Node.js, ומי שעובד לפי מדריכים מהרשת
Debian	12, 13	כחמש שנים כולל תקופת LTS: Debian 12 עד 30 ביוני 2028, Debian 13 עד 30 ביוני 2030	שרתי פרודקשן ארוכי טווח ומי שמעדיף עדכונים שמרניים
Rocky Linux / AlmaLinux	9, 10	תמיכה רגילה ואחריה תיקוני אבטחה: גרסה 9 עד 31 במאי 2032, גרסה 10 עד 31 במאי 2035	צוותים שמכירים את משפחת Red Hat Enterprise Linux

כמה הערות מעשיות:

• Debian 12 נמצאת בתקופת ה-LTS מאז יוני 2026. לשרת חדש עדיף להתחיל ב-Debian 13.
• תקופת עדכוני האבטחה הרגילים של Ubuntu 22.04 מסתיימת במאי 2027. לשרת חדש עדיף 24.04, אלא אם האפליקציה או סביבת ה-CI שלכם בנויות על 22.04.
• אם אתם עוקבים אחרי מדריך התקנה של תוכנה מסוימת, בחרו את ההפצה והגרסה שעליהן הוא נבדק. זה חוסך הפתעות בשמות חבילות ובתלויות.

בשרת לינוקס של אמפייר אייאל אפשר לבחור בין Ubuntu 22.04, Ubuntu 24.04, Debian 12 ו-Debian 13. Rocky Linux ו-AlmaLinux לא נמצאות ברשימת ההפצות שלנו. כל הפקודות במדריך הזה נכתבו עבור Ubuntu ו-Debian.

מה לבדוק לפני שמזמינים שרת לינוקס

• מעבד וזיכרון. הזיכרון נגמר בדרך כלל ראשון, במיוחד עם מסד נתונים, Java או כמה קונטיינרים על אותו שרת.
• סוג הדיסק. דיסק NVMe מורגש בשאילתות למסד הנתונים, בבניית קונטיינרים ובקומפילציה.
• מיקום השרת. כשהמשתמשים בישראל, שרת בישראל מקצר את זמן התגובה. זה מורגש ב-API, בבוטים ובשרתי משחק.
• הגנת DDoS. בדקו אם היא כלולה ובאיזו רמה היא פועלת. פרטים בעמוד הגנת DDoS.
• גישת root מלאה, בלי הגבלות על התקנת תוכנות.
• גישה לשרת כשה-SSH לא עובד: קונסולה מהדפדפן, ואפשרות להתקין מחדש את מערכת ההפעלה מהפאנל.
• גיבויים. מה מגובה, באיזו תדירות, והאם אפשר לשחזר לבד.
• תעבורה. האם יש מכסה חודשית, ומה קורה כשעוברים אותה.

בשרתי הלינוקס של אמפייר אייאל השרת מוקם אוטומטית תוך דקות בדאטה סנטר בישראל (ראש העין ופתח תקווה), על דיסק NVMe Enterprise. בכל שרת כלולים הגנת DDoS ברמת הרשת, גיבוי יומי, תעבורה ללא הגבלה וקונסולת VNC מהפאנל. את החבילות והמשאבים של כל אחת אפשר להשוות במחירון השרתים הווירטואליים.

צ'קליסט לשעה הראשונה: הקשחת שרת לינוקס

הפקודות כאן מתאימות ל-Ubuntu ול-Debian. בדוגמאות שם המשתמש הוא deploy וכתובת השרת היא 203.0.113.10, כתובת שמיועדת לתיעוד. החליפו את שתיהן בשלכם. אם פקודות בסיס כמו cd, ls ו-nano עדיין לא מוכרות לכם, עברו קודם על פקודות לינוקס בסיסיות לניהול VPS.

1. עדכון מלא של המערכת

בחיבור הראשון, כ-root:

apt update && apt upgrade -y

אם עודכנה גרסת הקרנל, הפעילו את השרת מחדש עם reboot.

2. משתמש רגיל עם הרשאות sudo

adduser deploy
usermod -aG sudo deploy

אם sudo לא מותקן בשרת, מתקינים אותו קודם עם apt install sudo. מעכשיו עובדים עם המשתמש הזה, ולא ישירות כ-root.

3. כניסה עם מפתח SSH

במחשב שלכם, לא בשרת:

ssh-keygen -t ed25519
ssh-copy-id deploy@203.0.113.10
ssh deploy@203.0.113.10

אם ssh-copy-id לא זמין במחשב שלכם, מעתיקים את תוכן הקובץ id_ed25519.pub לקובץ authorized_keys שבתיקייה ‎.ssh של המשתמש בשרת. לפני שממשיכים, ודאו שהכניסה עם המפתח עובדת.

4. ביטול כניסה בסיסמה וכניסה כ-root

יוצרים קובץ הגדרות נפרד בתיקייה sshd_config.d:

sudo nano /etc/ssh/sshd_config.d/00-hardening.conf

ובתוכו:

PasswordAuthentication no
PermitRootLogin no

בודקים ומפעילים מחדש:

sudo sshd -t
sudo sshd -T | grep -Ei 'passwordauthentication|permitrootlogin'
sudo systemctl restart ssh

למה דווקא 00 בתחילת שם הקובץ? ב-OpenSSH, כשהגדרה מופיעה כמה פעמים, הערך הראשון שנקרא קובע, והקבצים בתיקייה נקראים לפי סדר אלפביתי. בחלק מתמונות הענן יש קובץ כמו 50-cloud-init.conf שמאפשר כניסה בסיסמה, והקובץ שלכם צריך להיקרא לפניו. הפקודה sshd -T מציגה את ההגדרות שבפועל בתוקף. השאירו את החיבור הנוכחי פתוח, ובדקו בחלון נפרד שאפשר להתחבר.

5. חומת אש עם ufw

sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

את פורט 22 פותחים לפני ufw enable, אחרת תינעלו מחוץ לשרת. פורטים 80 ו-443 צריך רק אם השרת מגיש אתר.

אם תריצו Docker: לפי התיעוד של Docker, פורטים שמפרסמים מקונטיינר עוקפים את הכללים של ufw. לכן מפרסמים רק את מה שצריך, ושירות פנימי מפרסמים על 127.0.0.1 בלבד.

6. עדכוני אבטחה אוטומטיים

sudo apt install unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades

ב-Ubuntu Server החבילה מותקנת ומופעלת כברירת מחדל. ב-Debian היא מותקנת ברוב הגרסאות, אבל כדאי לוודא שהיא פעילה.

7. fail2ban נגד ניסיונות כניסה חוזרים

sudo apt install fail2ban python3-systemd
sudo nano /etc/fail2ban/jail.local

ובתוך הקובץ:

[sshd]
enabled = true
backend = systemd

ואז:

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

השורה backend = systemd חשובה ב-Debian 12: אין בה קובץ auth.log כברירת מחדל, ובלעדיה ה-jail של sshd לא עולה.

8. בדיקת הפורטים הפתוחים

sudo ss -tulpn

מסד נתונים או Redis לא צריכים להאזין לכל הכתובות. אם הם לא משרתים שרת אחר, הגדירו אותם להאזין ל-127.0.0.1 בלבד. חזרו על הבדיקה אחרי כל התקנה חדשה.

9. אזור זמן ושם לשרת

sudo timedatectl set-timezone Asia/Jerusalem
sudo hostnamectl set-hostname app1

כשהשעון של השרת לפי שעון ישראל, קל יותר להצליב בין הלוגים לבין מה שקרה אצלכם במשרד. שם ברור לשרת עוזר כשיש לכם יותר משרת אחד.

אחרי השעה הראשונה

ההקשחה היא התחלה. בשבוע הראשון כדאי להסתכל על כמה דברים פשוטים: כמה מקום נשאר בדיסק (df -h), מי ניסה להתחבר (journalctl -u ssh), ואילו כתובות fail2ban חסם. לפני כל שינוי גדול, כמו שדרוג גרסת הפצה או מיגרציה של מסד נתונים, ודאו שיש גיבוי עדכני. ורשמו לעצמכם מה התקנתם ולמה. בעוד חצי שנה זה יחסוך לכם שעה של ניחושים.

מה מריצים על שרת לינוקס

שרת Web: Nginx או Apache מול PHP-FPM, או כ-Reverse Proxy לאפליקציה. תעודות SSL מנפיקים עם Certbot או עם כלי דומה.

Docker ו-Docker Compose: כמה שירותים מבודדים על אותו שרת, כל אחד עם הגרסאות שלו. זכרו את ההערה על ufw.

אפליקציות Node.js ו-Python: מריצים אותן כשירות של systemd או עם מנהל תהליכים, תחת משתמש רגיל ולא כ-root, ומעליהן Nginx שמטפל ב-SSL.

מסדי נתונים: PostgreSQL, MySQL או MariaDB. מעבר לגיבוי של השרת, הגדירו dump מתוזמן של מסד הנתונים, כדי שתמיד תהיה נקודת שחזור עקבית.

בשרתים של אמפייר אייאל, לבוט, לאתר קטן או לסביבת פיתוח מספיקה בדרך כלל חבילת EM-1000 (2 ליבות, 4GB זיכרון ו-45GB NVMe). לאפליקציה בפרודקשן עם מסד נתונים על אותו שרת, או לכמה קונטיינרים, מתאימות EM-2000 (4 ליבות, 6GB) או EM-3000 (6 ליבות, 8GB). את השרת משדרגים מהפאנל בלי להעביר אותו. בשבועות הראשונים עקבו אחרי הניצול עם htop או docker stats.

טעויות נפוצות בשרת לינוקס חדש

רוב התקלות בשרתים חדשים חוזרות על עצמן, וכמעט כולן נמנעות מראש:

• עבודה יומיומית כ-root. פקודה אחת שגויה מוחקת תיקייה שלמה בלי לשאול. משתמש רגיל עם sudo מוסיף שלב אישור אחד, וזה מספיק כדי לעצור לא מעט טעויות.
• מסד נתונים שפתוח לאינטרנט. התקנה עם הגדרות ברירת מחדל, ואחריה פתיחת פורט "רק לבדיקה" שאף אחד לא סוגר. בדקו עם ss מה מאזין ולאן.
• סיסמה במקום מפתח. גם סיסמה ארוכה נחשפת לניסיונות ניחוש בלי הפסקה. מפתח SSH וביטול כניסה בסיסמה סוגרים את הדלת הזו.
• אין שום ניטור. השרת מתמלא בלוגים, הדיסק מגיע ל-100%, ומסד הנתונים נעצר באמצע הלילה. התראה פשוטה על מקום בדיסק חוסכת את רוב הסיפורים האלה.
• שדרוג גרסת הפצה בלי גיבוי ובלי בדיקה. שדרוג כזה עושים בחלון זמן מתוכנן, אחרי גיבוי, ורצוי קודם על שרת בדיקה.
• התקנות שאף אחד לא תיעד. כשמשהו נשבר אחרי חצי שנה, אף אחד לא זוכר איזה שירות הותקן ולמה. קובץ טקסט פשוט עם רשימת השינויים מספיק.

ניהול עצמי או שרת לינוקס מנוהל

בשרת בניהול עצמי, כל מה שבצ'קליסט למעלה באחריותכם, וגם מה שבא אחריו: עדכונים שוטפים, ניטור, תיקון תקלות ובדיקה שהגיבויים באמת משוחזרים. הגנת DDoS מסננת מתקפות ברמת הרשת, אבל היא לא מחליפה הקשחה של השרת ושל האפליקציה.

ניהול עצמי מתאים כשיש בצוות מפתח או איש מערכת שמכיר לינוקס, ויש לו זמן לזה. אם אין, VPS מנוהל מעביר את שכבת השרת לצוות של אמפייר אייאל: עדכוני מערכת ההפעלה, הקשחת אבטחה, חומות אש, ניטור, גיבויים וטיפול בתקלות. הקוד, הרשאות המשתמשים באפליקציה והתוכן נשארים אצלכם. היקף הניהול מתומחר לפי הצעת מחיר, אחרי אפיון של מה שרץ על השרת.

שאלות נפוצות

איזו הפצת לינוקס הכי מתאימה לשרת חדש?

אם אין לכם העדפה, Ubuntu 24.04 LTS היא נקודת פתיחה טובה: עדכוני אבטחה רגילים עד מאי 2029 והרבה מדריכים. מי שמעדיף עדכונים שמרניים יבחר Debian 13.

ננעלתי מחוץ ל-SSH. מה עושים?

נכנסים לשרת דרך הקונסולה מהפאנל, מתקנים את ההגדרה שנשברה ומפעילים מחדש את שירות ה-SSH. בשרתים של אמפייר אייאל יש קונסולת VNC מהדפדפן, ואפשר גם להתקין מחדש את מערכת ההפעלה משם.

הגנת DDoS מחליפה חומת אש בשרת?

לא. הגנת DDoS מסננת הצפות תעבורה לפני שהן מגיעות לשרת. חומת האש בשרת קובעת אילו פורטים פתוחים בכלל. צריך את שתיהן.

הגיבוי של הספק מספיק?

הוא שכבה ראשונה. למסד נתונים פעיל הוסיפו dump מתוזמן ברמת האפליקציה, ושמרו עותק מחוץ לשרת. ופעם בכמה חודשים בדקו שחזור בפועל: גיבוי שלא נבדק לא מבטיח שחזור.

כמה זיכרון צריך לשרת לינוקס?

לבוט או לאתר קטן מספיקים בדרך כלל 4GB. אפליקציה עם מסד נתונים או כמה קונטיינרים צריכה 6GB עד 8GB. מודדים בשבועות הראשונים ומשדרגים כשהשרת מתקרב לגבול.

שרת לינוקס בישראל באמפייר אייאל

בוחרים Ubuntu או Debian, והשרת עולה תוך דקות בדאטה סנטר בישראל, עם גישת root מלאה, דיסק NVMe Enterprise, הגנת DDoS וגיבוי יומי. כל הפרטים, החבילות וההפצות הזמינות בעמוד שרת וירטואלי Linux.