Projekt 1: nowy serwer w dziesięć minut

sudo journalctl -u ssh --since '15 min ago' | grep -c 'Failed password'

ssh-keygen -t ed25519 -C 'eryk@laptop'
scp ~/.ssh/id_ed25519.pub nowy-serwer.sh root@ADRES_SERWERA:/root/

#!/usr/bin/env bash
# nowy-serwer.sh — pierwsze 10 minut życia serwera
# Ubuntu/Debian oraz RHEL/Rocky/Alma. Uruchamiać jako root.
set -euo pipefail

ADMIN=""
KLUCZ=""
PROBA=0
BEZ_AKTUALIZACJI=0
DROPIN=/etc/ssh/sshd_config.d/10-nowy-serwer.conf

pomoc() {
    cat <<EOF
Użycie: sudo $0 -u UŻYTKOWNIK -k KLUCZ.pub [-n] [-s]
  -u  konto administratora, które powstanie (albo już jest)
  -k  plik z kluczem publicznym SSH tego administratora
  -n  próba: pokaż, co byłoby zrobione, niczego nie zmieniaj
  -s  pomiń aktualizację systemu (np. gdy robisz ją osobno)
  -h  ta pomoc
EOF
}

log()  { printf '[%s] %s\n' "$(date +%T)" "$*"; logger -t nowy-serwer -- "$*" 2>/dev/null || true; }
blad() { printf 'BŁĄD: %s\n' "$*" >&2; exit 1; }

# zrob KOMENDA... — wykonaj albo, w trybie próby, tylko wypisz
zrob() {
    if (( PROBA )); then printf '   [próba] %s\n' "$*"; else "$@"; fi
}

# zapisz PLIK — treść ze standardowego wejścia
zapisz() {
    if (( PROBA )); then
        printf '   [próba] zapisałbym %s:\n' "$1"; sed 's/^/      | /'
    else
        cat > "$1"
    fi
}

# usluga AKCJA NAZWA — systemctl, ale z ostrzeżeniem, gdy nie ma systemd (np. kontener)
usluga() {
    if [[ "$(cat /proc/1/comm)" == systemd ]]; then
        zrob systemctl "$@"
    else
        log "UWAGA: brak systemd jako PID 1, pomijam: systemctl $*"
    fi
}

while getopts ':u:k:nsh' opt; do
    case $opt in
        u) ADMIN=$OPTARG ;;
        k) KLUCZ=$OPTARG ;;
        n) PROBA=1 ;;
        s) BEZ_AKTUALIZACJI=1 ;;
        h) pomoc; exit 0 ;;
        :) blad "opcja -$OPTARG wymaga wartości" ;;
        *) pomoc >&2; exit 1 ;;
    esac
done

# ---------- 0. Kontrole przed startem ----------
[[ $EUID -eq 0 ]]            || blad "uruchom przez sudo albo jako root"
[[ -n $ADMIN && -n $KLUCZ ]] || { pomoc >&2; exit 1; }
[[ $ADMIN != root ]]         || blad "administratorem ma być zwykłe konto, nie root"
[[ $ADMIN =~ ^[a-z_][a-z0-9_-]{0,31}$ ]] || blad "niepoprawna nazwa konta: $ADMIN"
ssh-keygen -l -f "$KLUCZ" >/dev/null 2>&1 || blad "$KLUCZ nie wygląda na klucz publiczny SSH"

# shellcheck source=/dev/null
. /etc/os-release
case " ${ID} ${ID_LIKE:-} " in
    *" debian "*|*" ubuntu "*)        RODZINA=debian; GRUPA_ADMIN=sudo;  SSH_USLUGA=ssh  ;;
    *" rhel "*|*" fedora "*|*" centos "*) RODZINA=rhel; GRUPA_ADMIN=wheel; SSH_USLUGA=sshd ;;
    *) blad "nie znam dystrybucji: $PRETTY_NAME" ;;
esac
log "System: $PRETTY_NAME (rodzina: $RODZINA)"
(( PROBA )) && log "TRYB PRÓBY: nic nie zostanie zmienione"

# ---------- 1. Aktualizacje i pakiety ----------
log "Krok 1/6: aktualizacje i pakiety"
if [[ $RODZINA == debian ]]; then
    export DEBIAN_FRONTEND=noninteractive
    zrob apt-get update -q
    (( BEZ_AKTUALIZACJI )) || zrob apt-get -y -q upgrade
    zrob apt-get -y -q install openssh-server ufw fail2ban unattended-upgrades
else
    (( BEZ_AKTUALIZACJI )) || zrob dnf -y upgrade
    # fail2ban jest w EPEL; na Rocky i Almie epel-release leży w repo extras
    rpm -q epel-release >/dev/null 2>&1 || zrob dnf -y install epel-release
    zrob dnf -y install openssh-server firewalld fail2ban fail2ban-firewalld dnf-automatic
fi

# ---------- 2. Konto administratora ----------
log "Krok 2/6: konto $ADMIN w grupie $GRUPA_ADMIN"
if id "$ADMIN" >/dev/null 2>&1; then
    zrob usermod -aG "$GRUPA_ADMIN" "$ADMIN"
else
    zrob useradd -m -s /bin/bash -G "$GRUPA_ADMIN" "$ADMIN"
fi
# Hasło będzie potrzebne do sudo. Ustawiamy je, tylko gdy go jeszcze nie ma.
if [[ $(passwd -S "$ADMIN" 2>/dev/null | awk '{print $2}') != P ]]; then
    if [[ -t 0 ]]; then
        log "Ustaw hasło dla $ADMIN (do sudo, nie do logowania):"
        zrob passwd "$ADMIN"
    else
        log "UWAGA: $ADMIN nie ma hasła; ustaw je później: passwd $ADMIN"
    fi
fi

# ---------- 3. Klucz SSH ----------
log "Krok 3/6: klucz SSH dla $ADMIN"
DOM=$(getent passwd "$ADMIN" | cut -d: -f6 || true)
DOM=${DOM:-/home/$ADMIN}
zrob install -d -m 700 -o "$ADMIN" -g "$ADMIN" "$DOM/.ssh"
if [[ -f $DOM/.ssh/authorized_keys ]] && grep -qxF -f "$KLUCZ" "$DOM/.ssh/authorized_keys"; then
    log "klucz już jest w authorized_keys"
else
    if (( PROBA )); then
        printf '   [próba] dopisałbym klucz do %s\n' "$DOM/.ssh/authorized_keys"
    else
        cat "$KLUCZ" >> "$DOM/.ssh/authorized_keys"
    fi
fi
zrob chown "$ADMIN:$ADMIN" "$DOM/.ssh/authorized_keys"
zrob chmod 600 "$DOM/.ssh/authorized_keys"
# SELinux (RHEL): nadaj plikom w .ssh właściwe etykiety
if command -v selinuxenabled >/dev/null && selinuxenabled; then
    zrob restorecon -R "$DOM/.ssh"
fi

# ---------- 4. SSH tylko na klucze ----------
log "Krok 4/6: SSH tylko na klucze, bez roota"
zapisz "$DROPIN" <<'EOF'
# nowy-serwer.sh: logowanie wyłącznie kluczem, root nie wchodzi przez SSH
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
EOF
if (( ! PROBA )) && ! sshd -t; then
    rm -f "$DROPIN"
    blad "sshd -t odrzucił konfigurację; usunąłem $DROPIN, nic nie przeładowano"
fi
usluga try-reload-or-restart "$SSH_USLUGA"

# ---------- 5. Zapora ----------
log "Krok 5/6: zapora, wpuszczamy tylko SSH"
if [[ $RODZINA == debian ]]; then
    zrob ufw default deny incoming
    zrob ufw default allow outgoing
    zrob ufw allow OpenSSH
    zrob ufw --force enable
else
    usluga enable --now firewalld
    zrob firewall-cmd --permanent --add-service=ssh
    zrob firewall-cmd --reload
fi

# ---------- 6. fail2ban i automatyczne poprawki ----------
log "Krok 6/6: fail2ban i automatyczne aktualizacje bezpieczeństwa"
zapisz /etc/fail2ban/jail.local <<'EOF'
[DEFAULT]
bantime  = 1h
findtime = 10m
maxretry = 5
ignoreip = 127.0.0.1/8 ::1

[sshd]
enabled = true
backend = systemd
EOF
(( PROBA )) || fail2ban-client -t >/dev/null || blad "fail2ban-client -t: błąd w jail.local"
usluga enable fail2ban
usluga restart fail2ban

if [[ $RODZINA == debian ]]; then
    zapisz /etc/apt/apt.conf.d/20auto-upgrades <<'EOF'
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
EOF
else
    zrob sed -i 's/^upgrade_type.*/upgrade_type = security/; s/^apply_updates.*/apply_updates = yes/' \
        /etc/dnf/automatic.conf
    usluga enable --now dnf-automatic.timer
fi

log "GOTOWE. NIE zamykaj tej sesji. W drugim oknie sprawdź:"
log "   ssh -i TWÓJ_KLUCZ $ADMIN@$(hostname -I 2>/dev/null | awk '{print $1}')"
log "   sudo whoami    (ma odpowiedzieć: root)"

shellcheck nowy-serwer.sh && echo czysto

czysto

sudo ./nowy-serwer.sh -u eryk -k id_ed25519.pub -n

[22:34:02] System: Ubuntu 24.04.5 LTS (rodzina: debian)
[22:34:02] TRYB PRÓBY: nic nie zostanie zmienione
[22:34:02] Krok 1/6: aktualizacje i pakiety
   [próba] apt-get update -q
   [próba] apt-get -y -q upgrade
   [próba] apt-get -y -q install openssh-server ufw fail2ban unattended-upgrades
[22:34:02] Krok 2/6: konto eryk w grupie sudo
   [próba] useradd -m -s /bin/bash -G sudo eryk
...
[22:34:07] Krok 4/6: SSH tylko na klucze, bez roota
   [próba] zapisałbym /etc/ssh/sshd_config.d/10-nowy-serwer.conf:
      | # nowy-serwer.sh: logowanie wyłącznie kluczem, root nie wchodzi przez SSH
      | PermitRootLogin no
      | PasswordAuthentication no
...
[22:34:07] Krok 5/6: zapora, wpuszczamy tylko SSH
   [próba] ufw default deny incoming
   [próba] ufw default allow outgoing
   [próba] ufw allow OpenSSH
   [próba] ufw --force enable

echo 'PasswordAuthentication yes' | sudo tee /etc/ssh/sshd_config.d/50-cloud-init.conf
sudo sshd -T | grep ^passwordauth

passwordauthentication no

sudo ./nowy-serwer.sh -u eryk -k id_ed25519.pub -s

[22:34:30] System: Ubuntu 24.04.5 LTS (rodzina: debian)
[22:34:30] Krok 1/6: aktualizacje i pakiety
[22:34:30] Krok 2/6: konto eryk w grupie sudo
[22:34:30] Krok 3/6: klucz SSH dla eryk
[22:34:30] Krok 4/6: SSH tylko na klucze, bez roota
[22:34:30] Krok 5/6: zapora, wpuszczamy tylko SSH
Default incoming policy changed to 'deny'
Default outgoing policy changed to 'allow'
Rule added
Firewall is active and enabled on system startup
[22:34:33] Krok 6/6: fail2ban i automatyczne aktualizacje bezpieczeństwa
[22:34:33] GOTOWE. NIE zamykaj tej sesji. W drugim oknie sprawdź:

ssh -i ~/.ssh/id_ed25519 eryk@ADRES 'whoami'
ssh -o PubkeyAuthentication=no eryk@ADRES true
ssh -i ~/.ssh/id_ed25519 root@ADRES true

eryk
eryk@ADRES: Permission denied (publickey).
root@ADRES: Permission denied (publickey).

sudo ufw status verbose

Status: active
Default: deny (incoming), allow (outgoing), deny (routed)

To                         Action      From
--                         ------      ----
22/tcp (OpenSSH)           ALLOW IN    Anywhere

[22:34:50] Krok 3/6: klucz SSH dla eryk
[22:34:50] klucz już jest w authorized_keys

nowy-serwer-ansible/
├── ansible.cfg                    ([defaults] inventory = inventory.ini)
├── inventory.ini
├── klucze/eryk.pub
├── group_vars/nowe/vault.yml      (zaszyfrowany ansible-vault)
└── nowy-serwer.yml

# inventory.ini
[nowe]
web1 ansible_host=192.168.56.11
db1  ansible_host=192.168.56.12

mkdir -p group_vars/nowe
printf 'admin_haslo_hash: "%s"\n' "$(openssl passwd -6)" > group_vars/nowe/vault.yml
ansible-vault encrypt group_vars/nowe/vault.yml
head -1 group_vars/nowe/vault.yml

$ANSIBLE_VAULT;1.1;AES256

---
# nowy-serwer.yml — to samo co nowy-serwer.sh, ale jako opis stanu docelowego
- name: Nowy serwer - stan docelowy
  hosts: nowe
  become: true
  vars:
    admin_nazwa: eryk
    admin_klucz: "{{ lookup('ansible.builtin.file', 'klucze/eryk.pub') }}"
    grupa_admin: "{{ 'sudo' if ansible_os_family == 'Debian' else 'wheel' }}"
    ssh_usluga: "{{ 'ssh' if ansible_os_family == 'Debian' else 'sshd' }}"
    # admin_haslo_hash leży zaszyfrowany w group_vars/nowe/vault.yml
    ma_systemd: "{{ ansible_service_mgr == 'systemd' }}"

  tasks:
    # ---------- 1. Aktualizacje i pakiety ----------
    - name: Aktualizacje i pakiety (Debian/Ubuntu)
      when: ansible_os_family == 'Debian'
      tags: pakiety
      block:
        - name: Aktualizacja systemu
          ansible.builtin.apt:
            update_cache: true
            upgrade: safe
        - name: Pakiety bazowe
          ansible.builtin.apt:
            name: [openssh-server, ufw, fail2ban, unattended-upgrades]
            state: present

    - name: Aktualizacje i pakiety (RHEL/Rocky/Alma)
      when: ansible_os_family == 'RedHat'
      tags: pakiety
      block:
        - name: Repozytorium EPEL
          ansible.builtin.dnf:
            name: epel-release
            state: present
        - name: Aktualizacja systemu
          ansible.builtin.dnf:
            name: "*"
            state: latest  # noqa package-latest
        - name: Pakiety bazowe
          ansible.builtin.dnf:
            name: [openssh-server, firewalld, fail2ban, fail2ban-firewalld, dnf-automatic]
            state: present

    # ---------- 2. Konto administratora ----------
    - name: Konto administratora
      ansible.builtin.user:
        name: "{{ admin_nazwa }}"
        groups: "{{ grupa_admin }}"
        append: true
        shell: /bin/bash
        password: "{{ admin_haslo_hash }}"
        update_password: on_create

    # ---------- 3. Klucz SSH ----------
    - name: Klucz publiczny w authorized_keys
      ansible.posix.authorized_key:
        user: "{{ admin_nazwa }}"
        key: "{{ admin_klucz }}"
        state: present

    # ---------- 4. SSH tylko na klucze ----------
    - name: SSH bez haseł i bez roota
      ansible.builtin.copy:
        dest: /etc/ssh/sshd_config.d/10-nowy-serwer.conf
        owner: root
        group: root
        mode: "0644"
        content: |
          # Ansible: logowanie wyłącznie kluczem, root nie wchodzi przez SSH
          PermitRootLogin no
          PasswordAuthentication no
          KbdInteractiveAuthentication no
          PubkeyAuthentication yes
          MaxAuthTries 3
        validate: /usr/sbin/sshd -t -f %s
      notify: Przeładuj SSH

    # ---------- 5. Zapora ----------
    - name: Zapora ufw (Debian/Ubuntu)
      when: ansible_os_family == 'Debian'
      tags: zapora
      block:
        - name: Wpuść SSH
          community.general.ufw:
            rule: allow
            name: OpenSSH
        - name: Włącz ufw, domyślnie odrzucaj ruch przychodzący
          community.general.ufw:
            state: enabled
            policy: deny
            direction: incoming

    - name: Zapora firewalld (RHEL/Rocky/Alma)
      when: ansible_os_family == 'RedHat'
      tags: zapora
      block:
        - name: Włącz firewalld
          ansible.builtin.service:
            name: firewalld
            state: started
            enabled: true
          when: ma_systemd
        - name: Wpuść SSH na stałe i od razu
          ansible.posix.firewalld:
            service: ssh
            permanent: true
            immediate: true
            state: enabled

    # ---------- 6. fail2ban i automatyczne poprawki ----------
    - name: Konfiguracja fail2ban
      ansible.builtin.copy:
        dest: /etc/fail2ban/jail.local
        mode: "0644"
        content: |
          [DEFAULT]
          bantime  = 1h
          findtime = 10m
          maxretry = 5
          ignoreip = 127.0.0.1/8 ::1

          [sshd]
          enabled = true
          backend = systemd
      notify: Restartuj fail2ban

    - name: Automatyczne poprawki (Debian/Ubuntu)
      ansible.builtin.copy:
        dest: /etc/apt/apt.conf.d/20auto-upgrades
        mode: "0644"
        content: |
          APT::Periodic::Update-Package-Lists "1";
          APT::Periodic::Unattended-Upgrade "1";
      when: ansible_os_family == 'Debian'

    - name: Automatyczne poprawki bezpieczeństwa (RHEL)
      ansible.builtin.lineinfile:
        path: /etc/dnf/automatic.conf
        regexp: "^{{ item.klucz }}"
        line: "{{ item.klucz }} = {{ item.wartosc }}"
      loop:
        - { klucz: upgrade_type, wartosc: security }
        - { klucz: apply_updates, wartosc: "yes" }
      when: ansible_os_family == 'RedHat'

    - name: Usługi włączone przy starcie
      ansible.builtin.service:
        name: "{{ item }}"
        state: started
        enabled: true
      loop: "{{ ['fail2ban'] + (['dnf-automatic.timer'] if ansible_os_family == 'RedHat' else []) }}"
      when: ma_systemd

  handlers:
    - name: Przeładuj SSH
      ansible.builtin.service:
        name: "{{ ssh_usluga }}"
        state: reloaded
      when: ma_systemd

    - name: Restartuj fail2ban
      ansible.builtin.service:
        name: fail2ban
        state: restarted
      when: ma_systemd

ansible-galaxy collection install ansible.posix community.general

ansible-playbook nowy-serwer.yml --syntax-check
ansible-playbook nowy-serwer.yml --ask-vault-pass --check --diff
ansible-playbook nowy-serwer.yml --ask-vault-pass

playbook: nowy-serwer.yml
...
TASK [Konto administratora] ****************************************************
changed: [web1]
TASK [Klucz publiczny w authorized_keys] ***************************************
changed: [web1]
TASK [SSH bez haseł i bez roota] ***********************************************
changed: [web1]
TASK [Włącz ufw, domyślnie odrzucaj ruch przychodzący] *************************
changed: [web1]
TASK [Włącz firewalld] *********************************************************
skipping: [web1]
...
PLAY RECAP *********************************************************************
web1                       : ok=13   changed=11   unreachable=0    failed=0    skipped=6

PLAY RECAP *********************************************************************
web1                       : ok=11   changed=0    unreachable=0    failed=0    skipped=6

sudo fail2ban-client -t

OK: configuration test is successful