Servidor Ubuntu — Setup e SSL

Ordem de Execução

1. Criar Usuário

copy# conectado como root
adduser alfredo
usermod -aG sudo alfredo
chown -R alfredo:alfredo /home/alfredo

# TESTAR sudo antes de fechar sessão root
su - alfredo
sudo whoami   # deve retornar: root

2. SSH Keys

No cliente local

copyssh-keygen -t ed25519 -C "alfredo@servidor"
# salva em ~/.ssh/id_ed25519 + ~/.ssh/id_ed25519.pub

Copiar para o servidor

copyssh-copy-id -i ~/.ssh/id_ed25519.pub alfredo@ip-do-servidor

~/.ssh/config (cliente)

copyHost meu-servidor
    HostName ip-ou-dominio
    User alfredo
    IdentityFile ~/.ssh/id_ed25519
    ServerAliveInterval 60

3. Endurecer sshd_config

copysudo nvim /etc/ssh/sshd_config

copyPermitRootLogin no
PasswordAuthentication no
ChallengeResponseAuthentication no
AllowUsers alfredo
Protocol 2

copysudo systemctl restart ssh

4. UFW

copysudo apt install ufw -y
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Ver firewall/firewall-guide.md para UFW + fail2ban detalhado.

5. fail2ban

copysudo apt install fail2ban -y
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nvim /etc/fail2ban/jail.local

copy[DEFAULT]
bantime  = 1h
findtime = 10m
maxretry = 5
banaction = ufw

[sshd]
enabled = true
port    = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

copysudo systemctl enable fail2ban
sudo systemctl start fail2ban
sudo fail2ban-client status sshd

6. Nginx

copysudo apt install nginx -y
sudo systemctl enable nginx
sudo ufw allow 'Nginx Full'
curl http://localhost   # página padrão nginx

7. Sistema

Timezone

copysudo timedatectl set-timezone America/Sao_Paulo
timedatectl status

Hostname

copysudo hostnamectl set-hostname meu-servidor
sudo nvim /etc/hosts
# adicionar: 127.0.1.1  meu-servidor

NTP

copysudo apt install systemd-timesyncd -y
sudo timedatectl set-ntp true
timedatectl show-timesync

8. Atualizações Automáticas

copysudo apt update && sudo apt upgrade -y
sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure --priority=low unattended-upgrades

copy# verificar em /etc/apt/apt.conf.d/20auto-upgrades:
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

SSL/HTTPS com Certbot

Instalar Certbot

copysudo apt install certbot python3-certbot-nginx -y

Server Block Nginx (pré-requisito)

copysudo nvim /etc/nginx/sites-available/meu-dominio.com

copyserver {
    listen 80;
    listen [::]:80;
    server_name meu-dominio.com www.meu-dominio.com;

    root /var/www/meu-dominio.com;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

copysudo ln -s /etc/nginx/sites-available/meu-dominio.com /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

Certbot — Plugin Nginx (recomendado)

copysudo certbot --nginx -d meu-dominio.com -d www.meu-dominio.com
# → email → concordar termos → redirect HTTP→HTTPS (opção 2)

Certbot modifica o server block automaticamente com as diretivas SSL.

Certbot — Modo Standalone

Quando Nginx não está rodando ou para isolar o processo:

copysudo systemctl stop nginx
sudo certbot certonly --standalone -d meu-dominio.com
sudo systemctl start nginx

Certificados salvos em /etc/letsencrypt/live/meu-dominio.com/.

Renovação Automática

copy# Certbot instala timer systemd automaticamente
sudo systemctl status certbot.timer

# testar renovação (--dry-run não altera certificado)
sudo certbot renew --dry-run

# ver certificados instalados
sudo certbot certificates

Cloudflare DNS Challenge (wildcard)

Para *.dominio.com ou quando porta 80 não está acessível:

copysudo apt install python3-certbot-dns-cloudflare -y

sudo mkdir -p /root/.secrets
sudo nvim /root/.secrets/cloudflare.ini

copydns_cloudflare_api_token = SEU_TOKEN_CLOUDFLARE

copysudo chmod 600 /root/.secrets/cloudflare.ini

sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /root/.secrets/cloudflare.ini \
  -d meu-dominio.com \
  -d "*.meu-dominio.com"

Config Nginx com SSL (final)

copyserver {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name meu-dominio.com www.meu-dominio.com;

    ssl_certificate /etc/letsencrypt/live/meu-dominio.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/meu-dominio.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    root /var/www/meu-dominio.com;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

server {
    listen 80;
    listen [::]:80;
    server_name meu-dominio.com www.meu-dominio.com;
    return 301 https://$host$request_uri;
}

Proxy Reverso para Node.js

copyserver {
    listen 443 ssl;
    server_name app.meu-dominio.com;

    # ssl_certificate / ssl_certificate_key...

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_cache_bypass $http_upgrade;
    }
}

Checklist de Segurança