Чек-лист нового сервера

1. Обновить систему, поставить unattended-upgrades.
2. Создать пользователя, ключ SSH, проверить вход по ключу.
3. Фаервол: по умолчанию всё закрыто, открыть только нужное.
4. fail2ban на sshd, проверить, что бан действительно срабатывает.
5. Часовой пояс UTC, NTP включён (timedatectl).
6. Лимит журнала: SystemMaxUse=200M в journald.conf.
7. Swap, если памяти 1–2 ГБ. vm.swappiness=10.
8. Мониторинг: хотя бы внешний пинг и проверка свободного места.

Последний пункт обычно пропускают — и узнают о полном диске от пользователей.