Практическая работа: безопасная публикация сайта на Ubuntu Server

Дальше в задании используется обозначение XX. Вместо него нужно подставлять свой номер из двух цифр.

Пример для студента с номером 06:

Домен: s06.lab.probochka-corp.ru
SSH-порт: 2206

Эта команда выполняется в терминале Windows 10 на локальном компьютере.

ssh student@31.163.204.186 -p 22XX

Пример для студента с номером 06:

ssh student@31.163.204.186 -p 2206

sudo apt update

sudo apt install nginx ufw certbot python3-certbot-nginx curl dnsutils openssh-client -y

sudo systemctl status nginx

В статусе должно быть active (running). Для выхода из просмотра статуса нажмите Q.

Откройте терминал Windows 10 или PowerShell. Выполните команду:

ssh-keygen -t ed25519 -C "studentXX@college-lab"

Когда программа спросит путь для сохранения ключа, можно нажать Enter и оставить путь по умолчанию.

В результате обычно создаются два файла:

C:\Users\LOGIN\.ssh\id_ed25519
C:\Users\LOGIN\.ssh\id_ed25519.pub

id_ed25519 — приватный ключ. Его нельзя никому отправлять. id_ed25519.pub — публичный ключ. Его нужно добавить на удалённый сервер.

В PowerShell выполните:

type $env:USERPROFILE\.ssh\id_ed25519.pub

Если используется обычный cmd, команда будет такой:

type %USERPROFILE%\.ssh\id_ed25519.pub

Скопируйте всю строку целиком. Она начинается с ssh-ed25519 и заканчивается комментарием, например studentXX@college-lab.

Подключитесь к серверу по паролю, если ещё не подключены:

ssh student@31.163.204.186 -p 22XX

Затем на удалённом сервере выполните:

mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys

В открытый файл ~/.ssh/authorized_keys вставьте строку публичного ключа, которую скопировали с локального компьютера.

После вставки сохраните файл:

• Ctrl + O — сохранить;
• Enter — подтвердить имя файла;
• Ctrl + X — выйти из редактора.

Затем настройте права:

chmod 600 ~/.ssh/authorized_keys
chown -R $USER:$USER ~/.ssh

Откройте новый терминал Windows 10. Старую SSH-сессию пока не закрывайте.

В PowerShell можно использовать команду:

ssh -i $env:USERPROFILE\.ssh\id_ed25519 student@31.163.204.186 -p 22XX

Также можно указать путь явно:

ssh -i C:\Users\LOGIN\.ssh\id_ed25519 student@31.163.204.186 -p 22XX

Пример для студента с номером 06:

ssh -i C:\Users\LOGIN\.ssh\id_ed25519 student@31.163.204.186 -p 2206

Если подключение открылось без ввода пароля от пользователя student, вход по ключу работает.

Выполняйте этот шаг только после успешной проверки входа по ключу.

sudo nano /etc/ssh/sshd_config

Найдите или добавьте строки:

PubkeyAuthentication yes
PasswordAuthentication no
PermitRootLogin no

sudo sshd -t
sudo systemctl restart ssh

Если команда sudo sshd -t ничего не вывела, значит синтаксис конфигурации корректный.

Откройте новый терминал Windows 10 и выполните:

ssh -i C:\Users\LOGIN\.ssh\id_ed25519 student@31.163.204.186 -p 22XX

Если вход успешный, настройка SSH выполнена правильно.

sudo groupadd deploy

Если группа уже существует, это не критическая ошибка. Проверьте её наличие:

getent group deploy

sudo usermod -aG deploy $USER

После добавления пользователя в группу нужно выйти с удалённого сервера и подключиться заново. Иначе текущая SSH-сессия может ещё не видеть новую группу.

exit

Затем на локальном компьютере снова подключитесь к удалённому серверу:

ssh -i C:\Users\LOGIN\.ssh\id_ed25519 student@31.163.204.186 -p 22XX

После повторного входа проверьте группы:

groups $USER

В списке должна быть группа deploy.

sudo mkdir -p /var/www/site

sudo chown -R root:deploy /var/www/site

sudo find /var/www/site -type d -exec chmod 775 {} \;
sudo find /var/www/site -type f -exec chmod 664 {} \;

Для новых файлов внутри директории установите наследование группы:

sudo chmod g+s /var/www/site

В тексте страницы замените XX на свой номер.

sudo tee /var/www/site/index.html > /dev/null <<'HTML'
<!DOCTYPE html>
<html lang="ru">
<head>
  <meta charset="UTF-8">
  <meta name="viewport" content="width=device-width, initial-scale=1.0">
  <title>Сайт студента XX</title>
  <style>
    body {
      margin: 0;
      font-family: Arial, sans-serif;
      background: #f5f7fb;
      color: #182033;
    }
    main {
      max-width: 760px;
      margin: 80px auto;
      background: white;
      padding: 40px;
      border-radius: 18px;
      box-shadow: 0 10px 30px rgba(20, 35, 70, 0.08);
    }
    h1 { color: #2f6fed; }
  </style>
</head>
<body>
  <main>
    <h1>Сайт работает</h1>
    <p>Это сайт студента XX, опубликованный через Nginx на Ubuntu Server.</p>
  </main>
</body>
</html>
HTML

После создания файла снова примените владельца и права:

sudo chown root:deploy /var/www/site/index.html
sudo chmod 664 /var/www/site/index.html

ls -ld /var/www/site
ls -l /var/www/site

Ожидаемый смысл результата: владелец root, группа deploy, у группы есть права на изменение файлов сайта.

sudo nano /etc/nginx/sites-available/site

Вставьте конфигурацию. Замените XX на свой номер:

server {
    listen 80;
    server_name sXX.lab.probochka-corp.ru;

    root /var/www/site;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }

    location ~ /\. {
        deny all;
    }
}

Пример для студента с номером 06:

server_name s06.lab.probochka-corp.ru;

sudo ln -sf /etc/nginx/sites-available/site /etc/nginx/sites-enabled/site

Если включён стандартный сайт Nginx, отключите его:

sudo rm -f /etc/nginx/sites-enabled/default

sudo nginx -t
sudo systemctl reload nginx

В результате проверки должно быть syntax is ok и test is successful.

curl -I http://sXX.lab.probochka-corp.ru
curl http://sXX.lab.probochka-corp.ru

Пример для студента с номером 06:

curl -I http://s06.lab.probochka-corp.ru

sudo ufw status numbered

Если firewall ещё не включён, это нормально.

sudo ufw default deny incoming
sudo ufw default allow outgoing

sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

sudo ufw enable
sudo ufw status verbose

В результате должны быть открыты только 22/tcp, 80/tcp, 443/tcp.

dig sXX.lab.probochka-corp.ru
curl -I http://sXX.lab.probochka-corp.ru

Пример для студента с номером 06:

dig s06.lab.probochka-corp.ru
curl -I http://s06.lab.probochka-corp.ru

Замените XX на свой номер:

sudo certbot --nginx -d sXX.lab.probochka-corp.ru

Пример для студента с номером 06:

sudo certbot --nginx -d s06.lab.probochka-corp.ru

curl -I https://sXX.lab.probochka-corp.ru

Ожидаемый результат: сайт отвечает по HTTPS, а браузер открывает страницу без ошибки сертификата.

sudo certbot renew --dry-run