Эта статья — часть Большого Мануала по настройке lamp-сервера на debian.

Предыдущая статья цикла — Про vds/dedicated хостеров. Выбираем сервер.

Следующая статья цикла — /etc/apt/sources.list.

Нередко хостеры не позволяют налить машину из своего iso-образа. Самые продвинутые позволяют налить систему из захардкоженного списка iso-шников — с ними проще. Но вот у всех остальных система ставится из образа, приготовленного хостером. Есть в таких образах полезные вещи — драйвера к железу из коробки, какие-то там системы мониторинга, которые позволяют в панели рисовать клевые графички или присылать смс, если на сервере кончилась память (это во flops, кстати). Но в большинстве случаев хостер в шаблон кладет какое-нибудь дерьмо — ненастроенный apache, ntpd, самые фантазеры дадут вам машину «с настроенным LAMP» — всё это вам не нужно. Во-первых, можно потратить много времени на то, чтобы донастроить за хостером всё то, что он добавил в шаблон (это иногда нетривиально, к тому же), во-вторых — зачем нам какая-то ненужная хрень на сервере?


Поэтому сейчас мы будем учиться сносить всё лишнее. Для примера я взял виртуалку в digitalocean с «базовым» Debian 7 — даже там хватает ненужного.


Для начала посмотрим на то, что на самом деле debian-у нужно. Вот вам пример выхлопа ps aux на одном из моих серверов (единственная его задача — быть dns-сервером)

Каждый процесс мне здесь понятен, запущенная система занимает 21 мегабайт памяти.

А теперь посмотрим на «чистую» систему в digitalocean:

Там, где … — ядерные процессы, мы с ничего делать не будем (обозначаются как [something] в выводе ps ax).
Давайте рассуждать. init — процесс нужный, тут не поспоришь.
udevd отвечает за управлением железом (в том числе, и виртуальным). Пригодится.
А вот мы встретили rsyslog, он нам непонятен. Идем в гугл с запросом «linux what is rsyslog». Ага, в эту штуку система пишет логи, тоже оставим. Но вот если бы был syslog-ng — мы бы его заменили на rsyslog, он полегче (не такой фичастый, зато памяти меньше ест).
Гуглим про atd. Какой-то там планировщик одноразовых задач на определенное время (ей б-гу, я им пользовался за 7 лет 2 раза). Вот когда понадобится — тогда и поставим. А пока снесем.
Для начала попробуем найти, где он. Процесс называется atd, спросим у dpkg, что он знает про файлы с таким названием:

Вряд ли утилита at daemon живет в пакете linux-image. А вот пакет at — похож на правду. Сносим его:

Так, что там у нас следующее? acpid. Вроде, какая-то штука про управление питанием в Linux. Пожалуй, оставим.
anacron и cron. Запуск задач по расписанию. Вообще штуки полезные и нам пригодятся. Я бы снес anacron, но некоторые пакеты зависят от него — они запускают что-то через anacron, а не cron, так что пусть живет.
dbus — гуглим, тоже что-то важное. Оставляем.
sshd — ssh-daemon. Пожалуй, имея доступ только через ssh на сервер, сносить его будет плохой идеей.
А следующий у нас — exim. Почтовый сервер, конфигурация которого нам неизвестна. Отличненько! Но нам-то хочется, чтобы конфигурация exim-a была известной, чтобы через нас спам пройти не мог.
Попробуем найти все пакеты про exim:

Угу, пробуем снести:

Вроде бы получилось.
А что если не получилось бы? Мы можем переустановить конфиги пакета, не снося сам пакет. Правда, apt этого делать не умеет (apt-get install —reinstall не в счет).
Поэтому нам понадобятся deb-файлы:

Проверим, что они появились в текущем каталоге:

Сойдет.
Теперь мы можем привести конфигурацию этих пакетов к дефолтной:

По крайней мере, так мы восстановим те конфиги, которые хостер удалил (бывает у них) после установки пакета.


Ребутаемся, смотрим — система занимает 26 мегабайт. Окей, 5 мегабайт — это разница между sendmail и exim.
А в списке запущенных процессов (за вычетом ядерных) у нас около 20 процессов. Прекрасно, здесь уже можно работать.

Стоит проверить ещё и список установленных пакетов, его можно посмотреть такой командой:

Конечно, весь его прочитать не получится, но поискать там все упоминания известного вам софта (apache, php, *sql, smb, ftp и так далее) стоит, чтобы не оказаться в ситуации, когда вы стараетесь настроить заведомо неправильно настроенный демон.

Например, я снёс вот эти пакеты:

tcpdump — вещь ситуативная, её можно поставить, когда понадобится
sudo — потом поставлю и настрою, мало ли что там хостер в sudo вписал.
w3m — вообще консольный браузер. Полезная штука, но вряд ли я им воспользуюсь именно на этом сервере.
whois — ну э… я с ноутбука whois домена посмотреть могу (у меня там такой же пакет есть, ага).
traceroute — тоже ситуативная вещь, на практике на 80% серверов его никогда не запускают.
rsync — когда понадобится — поставлю.
parted — вот уж работать с партициями дисков на виртуалке мне точно не придется.
ntpdate — сносим на всякий, потом поставим и настроим.
netcat — понадобится — поставим. Вообще-то штука полезная, но я предпочитаю ту, что в пакете netcat-openbsd
nano — редактор, которым я не пользуюсь. В топку.
manpages, man-db — у меня есть, где почитать мануалы.
acl — вряд ли вы будете его использовать (а если будем, то и не сносим).
aptitude — apt (наконец-то) уже всё то же самое умеет.
arping — аналогично трейсроуту
avahi-daemon — кто вообще эту дрянь сюда положил?
eject — на виртуалке? Кхм.
ftp — стандартный консольный ftp клиент. Во-первых, есть lftp, во-вторых, можно поставить, когда понадобится
fuse — вот тоже как-то не собираюсь его использовать.
git, git-man — пока не нужны. А если нужны — вы знаете, что делать.

Вот такими примерно рассуждениями можно минимизировать размер системы и количество опасных мест. А после этого уже приступать к настройке.