Linux คืออะไรกันแน่

Linux คือเคอร์เนล — โปรแกรมแกนกลางที่คุยกับฮาร์ดแวร์ ส่วน “ดิสทริบิวชัน” (distro) คือการรวมเคอร์เนลนั้นเข้ากับตัวจัดการแพ็กเกจ เครื่องมือระบบ และค่าเริ่มต้นต่าง ๆ เซิร์ฟเวอร์บนอินเทอร์เน็ตส่วนใหญ่รัน Linux จึงเป็นเหตุผลที่คู่มือ VPS แทบทุกฉบับถือว่าใช้ Linux [1] บนเซิร์ฟเวอร์จะไม่มีหน้าจอเดสก์ท็อป คุณพิมพ์คำสั่งลงในเชลล์ (มักเป็น bash) แล้วระบบตอบกลับเป็นข้อความ

Debian และ Ubuntu

เทมเพลต VPS ของ Hostinger เป็นตระกูล Debian โดยค่าเริ่มต้น และ Ubuntu เป็นตัวเลือกที่พบบ่อยที่สุด ทั้งคู่ใช้ตัวจัดการแพ็กเกจ APT และ systemd ดังนั้นทุกคำสั่งในคู่มือนี้ใช้ได้กับทั้งสอง [2] ตรวจดูว่าใช้รุ่นใดด้วย `cat /etc/os-release`

กายวิภาคของพรอมป์เชลล์

พรอมป์อย่าง root@srv01:~# บอกว่าใคร อยู่ที่ไหน และมีอำนาจแค่ไหน

เชื่อมต่อผ่าน SSH ครั้งแรก

แผงควบคุมของ Hostinger จะแสดงไอพีของ VPS และรหัสผ่าน root เริ่มต้น (หรือให้ตั้งกุญแจ SSH ได้) จากเทอร์มินัลในเครื่องคุณเอง:

1. 1เปิดเทอร์มินัล (macOS/Linux: Terminal; Windows: PowerShell หรือ Windows Terminal)
2. 2รัน `ssh root@YOUR_SERVER_IP` แล้วกด Enter
3. 3ครั้งแรกที่เชื่อมต่อ ให้พิมพ์ `yes` เพื่อยอมรับ fingerprint ของเซิร์ฟเวอร์
4. 4ใส่รหัสผ่าน root จากแผงควบคุม Hostinger (จะไม่มีอะไรแสดงระหว่างพิมพ์ — เป็นเรื่องปกติ)
5. 5ตอนนี้คุณอยู่ที่พรอมป์ `#` ล็อกอินเข้าเซิร์ฟเวอร์แล้ว [3][4]

ต้นไม้เดียว ทุกอย่างคือไฟล์

ต่างจาก Windows ตรงที่ Linux ไม่มีตัวอักษรไดรฟ์ ดิสก์ พาร์ทิชัน และอุปกรณ์จำนวนมากปรากฏอยู่ที่ใดที่หนึ่งภายใต้ `/` โครงสร้างนี้เป็นไปตาม Filesystem Hierarchy Standard เพื่อให้แอดมินรู้ว่าควรไปหาที่ไหนในทุกดิสโทร [1]

ไดเรกทอรีที่คุณจะได้ใช้จริง

พาธสัมบูรณ์ vs พาธสัมพัทธ์

พาธสัมบูรณ์ (absolute) เริ่มจาก `/` และไม่กำกวม (`/etc/ssh/sshd_config`) ส่วนพาธสัมพัทธ์ (relative) อ่านจากตำแหน่งที่คุณอยู่ตอนนั้น มีทางลัดสามตัวช่วยประหยัดการพิมพ์: `~` คือโฮมของคุณ, `.` คือไดเรกทอรีปัจจุบัน และ `..` คือไดเรกทอรีแม่

การเคลื่อนที่ไปมา

คำสั่งจัดการไฟล์หลัก

แก้ไขไฟล์ด้วย nano

`nano /etc/hostname` เปิดโปรแกรมแก้ไขที่ใช้ง่าย พิมพ์เพื่อแก้ไขได้เลย แถบล่างแสดงคีย์ลัดโดยที่ `^` หมายถึง Ctrl บันทึกด้วย Ctrl+O แล้ว Enter และออกด้วย Ctrl+X เป็นโปรแกรมแก้ไขที่ง่ายที่สุดสำหรับไฟล์คอนฟิกเมื่อเริ่มต้น

การเปลี่ยนทิศทางและไปป์

`>` ส่งผลลัพธ์ของคำสั่งไปเขียนทับลงไฟล์ ส่วน `>>` ต่อท้าย ไปป์ `|` ป้อนผลลัพธ์ของคำสั่งหนึ่งเข้าสู่คำสั่งถัดไป และ `grep` กรองบรรทัดตามแพตเทิร์น [4] สามตัวนี้รวมกันเป็นคำสั่งบรรทัดเดียวที่ทรงพลังสำหรับค้นล็อกและคอนฟิก

โมเดล rwx

แต่ละไฟล์ให้สิทธิ์สามอย่าง — อ่าน (r), เขียน (w), รัน (x) — แก่ผู้ใช้สามจำพวก: เจ้าของ (user), กลุ่ม (group) และคนอื่นทั้งหมด (other) คำสั่ง `ls -l` แสดงเป็นสตริง 10 ตัวอักษร: ตัวอักษรบอกชนิดหนึ่งตัว ตามด้วย rwx สามชุด [3]

สิทธิ์แบบเลขฐานแปด (r=4, w=2, x=1)

เปลี่ยนสิทธิ์และเจ้าของ

1. 1`chmod 600 secret.key` ตั้งสิทธิ์ตรงตัวด้วยเลขฐานแปด [1]
2. 2`chmod +x script.sh` เพิ่มบิตรันเพื่อให้รันสคริปต์ได้
3. 3`chown deploy file` เปลี่ยนเจ้าของ; `chown deploy:www file` ตั้งทั้งเจ้าของและกลุ่ม [2]
4. 4`chmod -R 755 dir/` ใช้แบบเรียกซ้ำกับไดเรกทอรีและทุกอย่างข้างใน

root vs ผู้ใช้ทั่วไป

root (UID 0) ทำได้ทุกอย่าง รวมถึงความเสียหายที่ย้อนกลับไม่ได้ ผู้ใช้ทั่วไปถูกจำกัดอยู่กับไฟล์ของตัวเอง หลักการสิทธิ์น้อยที่สุด (least privilege) บอกว่า: ทำงานประจำวันในฐานะผู้ใช้ทั่วไป แล้วยืมอำนาจ root เพียงชั่วคราวผ่าน sudo [2][3]

สร้างผู้ใช้ sudo ของคุณเอง

รันคำสั่งเหล่านี้ในฐานะ root บน VPS ที่เพิ่งติดตั้งใหม่:

1. 1`adduser deploy` — สร้างผู้ใช้และถามรหัสผ่าน [1]
2. 2`usermod -aG sudo deploy` — เพิ่มผู้ใช้เข้ากลุ่ม sudo (`-aG` = ต่อท้ายเข้ากลุ่ม)
3. 3`su - deploy` — สลับไปเป็นผู้ใช้ใหม่เพื่อทดสอบ
4. 4`sudo whoami` — ควรแสดง `root` เป็นการยืนยันว่า sudo ใช้ได้

รู้ว่าคุณคือใคร

APT คืออะไร

APT (Advanced Package Tool) ดาวน์โหลดแพ็กเกจจากแหล่งทางการ — คลังซอฟต์แวร์ที่ผ่านการตรวจสอบและเซ็นลายเซ็น ปลอดภัยกว่าการดาวน์โหลดมั่ว ๆ เพราะแพ็กเกจถูกตรวจความถูกต้องและแพตช์จากศูนย์กลาง [1]

คำสั่ง apt ที่ใช้ประจำ (รันด้วย sudo)

อัปเดตเซิร์ฟเวอร์ (ทำสิ่งนี้ก่อน และทำสม่ำเสมอ)

1. 1`sudo apt update` — ดึงดัชนีแพ็กเกจล่าสุด
2. 2`sudo apt upgrade -y` — ติดตั้งอัปเดตทั้งหมดที่มี (`-y` ยืนยันอัตโนมัติ)
3. 3รีบูตถ้ามีการอัปเดตเคอร์เนล: `sudo reboot`

ตรวจสอบโปรเซสและทรัพยากร

สัญญาณ: TERM vs KILL

`kill PID` ส่ง SIGTERM เป็นการขอให้โปรเซสเก็บกวาดและออกอย่างสุภาพ — ลองวิธีนี้ก่อนเสมอ ส่วน `kill -9 PID` ส่ง SIGKILL ที่โปรเซสดักจับหรือเพิกเฉยไม่ได้ มันหยุดทันทีแต่อาจทิ้งไฟล์ที่เขียนค้างไว้ [3] ใช้ -9 เฉพาะตอนที่โปรเซสค้างจริง ๆ

systemd และยูนิต

systemd คือระบบ init ที่เริ่ม OS และคอยกำกับเซอร์วิส แต่ละเซอร์วิสอธิบายด้วย “ยูนิต” (เช่น `nginx.service`) คุณเริ่ม หยุด และเปิดยูนิตให้ทำงานด้วยเครื่องมือเดียวคือ `systemctl` [1]

จัดการเซอร์วิส (เช่น nginx)

อ่านล็อกด้วย journalctl

systemd เก็บล็อกไว้ที่ศูนย์กลาง `journalctl -u nginx` แสดงล็อกของเซอร์วิสหนึ่ง, `-e` กระโดดไปท้ายสุด และ `-f` ตามบรรทัดใหม่แบบสด [2] เมื่อเซอร์วิสไม่ยอมเริ่ม journal ของมันมักบอกเหตุผลเสมอ

เครื่องมือเครือข่าย

พอร์ตและความหมาย

พอร์ตคือประตูที่มีหมายเลขบนเซิร์ฟเวอร์ของคุณ 22 คือ SSH, 80 คือ HTTP, 443 คือ HTTPS `ss -tulpn` แสดงทุกประตูที่เปิดอยู่และโปรแกรมที่อยู่เบื้องหลัง พอร์ตที่ฟังอยู่แบบไม่คาดคิดคือสัญญาณอันตรายด้านความปลอดภัยที่ควรสืบสวน

ทำไมกุญแจดีกว่ารหัสผ่าน

คู่กุญแจ SSH ประกอบด้วยกุญแจส่วนตัว (เก็บเป็นความลับในเครื่องคุณ) และกุญแจสาธารณะ (วางไว้บนเซิร์ฟเวอร์) การล็อกอินพิสูจน์ว่าคุณถือกุญแจส่วนตัวโดยไม่ส่งมันออกไปเลย กุญแจที่แข็งแรงทนต่อบอตเดารหัสผ่านที่ถล่มทุกพอร์ต SSH สาธารณะ [4]

ตั้งค่าการยืนยันตัวด้วยกุญแจ

รันคำสั่งแรกบน เครื่องของคุณ ไม่ใช่บนเซิร์ฟเวอร์:

1. 1`ssh-keygen -t ed25519 -C "you@example.com"` — สร้างคู่กุญแจสมัยใหม่; กด Enter เพื่อรับพาธปริยายและตั้งวลีรหัสผ่าน (passphrase) [2]
2. 2`ssh-copy-id deploy@YOUR_SERVER_IP` — คัดลอกกุญแจสาธารณะไปยัง authorized_keys ของเซิร์ฟเวอร์
3. 3`ssh deploy@YOUR_SERVER_IP` — ล็อกอินอีกครั้ง ควรไม่ถามรหัสผ่าน
4. 4ยืนยันว่าล็อกอินด้วยกุญแจใช้ได้ ก่อน ปิดการใช้รหัสผ่านในขั้นถัดไป

รัดกุม /etc/ssh/sshd_config

แก้คอนฟิกของ SSH daemon ด้วย `sudo nano /etc/ssh/sshd_config` ตั้งสามตัวเลือกด้านล่าง แล้วใช้งานด้วย `sudo systemctl restart ssh` วิธีนี้ปิดการล็อกอิน root โดยตรงและปิดการยืนยันตัวด้วยรหัสผ่านทั้งหมด เหลือเฉพาะกุญแจเท่านั้นที่ใช้ได้ [1][3]

ปฏิเสธโดยปริยาย อนุญาตเป็นข้อยกเว้น

นโยบายไฟร์วอลล์ที่ดีบล็อกการเชื่อมต่อขาเข้าทั้งหมดโดยปริยาย แล้วเปิดเฉพาะพอร์ตที่เซอร์วิสของคุณใช้ UFW ทำให้สิ่งนี้เป็นคำสั่งอ่านง่ายไม่กี่บรรทัดแทนกฎ iptables ดิบ ๆ [1]

ตั้งค่า UFW อย่างปลอดภัย

ลำดับสำคัญมาก — อนุญาต SSH ก่อน เปิดใช้งานไฟร์วอลล์:

1. 1`sudo ufw default deny incoming` — บล็อกขาเข้าทั้งหมดโดยปริยาย
2. 2`sudo ufw default allow outgoing` — ให้เซิร์ฟเวอร์ติดต่อออกได้
3. 3`sudo ufw allow OpenSSH` — คงการเข้าถึง SSH ของคุณไว้ (หรือ `ufw allow 22`)
4. 4`sudo ufw allow 80,443/tcp` — อนุญาตทราฟฟิกเว็บถ้าคุณรันเว็บไซต์
5. 5`sudo ufw enable` — เปิดไฟร์วอลล์
6. 6`sudo ufw status verbose` — ยืนยันกฎ [3]

คำสั่ง UFW ที่มีประโยชน์

แนวคิด: สิทธิ์น้อยที่สุดและพื้นผิวน้อยที่สุด

สองหลักการครอบคลุมความปลอดภัยเซิร์ฟเวอร์ส่วนใหญ่ สิทธิ์น้อยที่สุด (least privilege): ผู้ใช้และเซอร์วิสทุกตัวได้สิทธิ์เท่าที่จำเป็นเท่านั้น ไม่มากกว่านั้น พื้นผิวการโจมตีน้อยที่สุด (minimal attack surface): รันและเปิดเผยให้น้อยที่สุด — พอร์ตเปิดน้อยลง แพ็กเกจติดตั้งน้อยลง บัญชีน้อยลง [1]

เช็กลิสต์เสริมความปลอดภัยในชั่วโมงแรก

รันสิ่งเหล่านี้บน VPS ใหม่ทุกตัว ตามลำดับ:

1. 1อัปเดตทุกอย่าง: `sudo apt update && sudo apt upgrade -y` [4]
2. 2สร้างผู้ใช้ sudo ที่ไม่ใช่ root และใช้มันตั้งแต่นี้ไป (หัวข้อผู้ใช้)
3. 3ตั้งค่าล็อกอินด้วยกุญแจ SSH แล้วปิดการล็อกอิน root และการยืนยันด้วยรหัสผ่าน (หัวข้อ SSH)
4. 4เปิดไฟร์วอลล์ด้วย UFW อนุญาตเฉพาะ SSH และพอร์ตเซอร์วิสของคุณ
5. 5ติดตั้ง Fail2Ban เพื่อแบนการล็อกอินที่ล้มเหลวซ้ำ ๆ อัตโนมัติ
6. 6เปิดอัปเดตความปลอดภัยอัตโนมัติ (unattended-upgrades)

Fail2Ban ในประโยคเดียว

Fail2Ban เฝ้าดูไฟล์ล็อก (เช่น /var/log/auth.log) และบล็อกชั่วคราวทุก IP ที่ล็อกอินล้มเหลวมากเกินไป หยุดบอตเดารหัสผ่านที่คอยตรวจสอบเซิร์ฟเวอร์สาธารณะทุกตัวอยู่ตลอด [2]