Instalace a konfigurace služeb v Linuxu: serverové aplikace

Filozofie instalace a správy služeb v Linuxu

Linuxové distribuce nabízejí bohatý ekosystém nástrojů pro instalaci, konfiguraci a provoz síťových služeb. Klíčem k úspěchu je standardizace (FHS, jednotky systemd, správci balíčků), deklarativní konfigurace, automatizace a důsledné řízení přístupu. Tento článek poskytuje ucelený přehled postupů a doporučení od výběru distribuce přes instalaci balíčků až po zabezpečení, monitoring a vysokou dostupnost.

Volba distribuce a správce balíčků

Výběr distribuce ovlivňuje životní cyklus i nástroje správy. Debian/Ubuntu používají APT a balíčky DEB, Red Hat/AlmaLinux/Rocky Linux DNF (YUM) a RPM, SUSE pak Zypper. Rolling distribuce (Arch, openSUSE Tumbleweed) přinášejí rychlé aktualizace, enterprise vydání stabilitu a delší podporu. Preferujte oficiální repozitáře, případně ověřené repozitáře vendorů; v produkci minimalizujte kompilaci ze zdrojového kódu kvůli aktualizacím a bezpečnosti.

Architektura systemd a životní cyklus služby

V moderních distribucích služby spravuje systemd. Jednotky (.service, .socket, .timer) definují spouštění, závislosti a prostředí. Konfigurace se ukládají do /etc/systemd/system (lokální) a /usr/lib/systemd/system (balíčkové). Pro úpravy používejte adresáře drop-in /etc/systemd/system/<nazev>.service.d/override.conf a vyhněte se přímým úpravám souborů dodaných balíčkem. Pro závislosti využívejte wants/requires a pro oddělení tajemství a proměnných EnvironmentFile.

Standardní umístění konfigurace a dat

• Konfigurace: /etc/<sluzba>/ – verzujte v Gitu a chraňte přístupy.
• Logy: /var/log/ a journal; nastavte rotaci a dobu uchovávání.
• Data: /var/lib/<sluzba>/ – respektujte FHS a oddělte data od konfigurace.
• Spouštěcí skripty: jednotky systemd a /usr/local/bin pro vlastní nástroje.

Instalace webového serveru (Nginx/Apache) a základní konfigurace

Instalace probíhá prostřednictvím správce balíčků. Nginx preferujte pro reverzní proxy a statický obsah, Apache při potřebě modulárního ekosystému a souborů htaccess. Konfiguraci virtuálních hostitelů udržujte odděleně (např. v /etc/nginx/sites-available a sites-enabled). Zapněte gzip/brotli a HTTP/2 a striktně definujte hlavičky (HSTS, CSP) podle aplikace. Certifikáty spravujte prostřednictvím klienta ACME a automatické obnovy.

Instalace databází (PostgreSQL, MariaDB) a zabezpečení

Při nasazení databází nastavte oddělené systémové uživatele, vyhrazené adresáře pro data, audit přístupů a šifrování přenosu. Omezte adresu bind na privátní síť, uplatňujte princip nejmenších oprávnění (samostatné účty DB s minimálními oprávněními) a pravidelně měňte hesla nebo přejděte na certifikáty/SSO. Sledujte metriky (počet připojení, latenci dotazů, I/O) a nastavte zálohování včetně testování obnovy.

SSH a přístupová politika

Pro vzdálenou správu zakažte přihlašování uživatele root, povolte pouze ověřování klíčem a aktivujte Port Knocking či Fail2ban ke zmírnění útoků hrubou silou. Podle potřeby omezte AllowUsers/AllowGroups a bloky Match. Politiky sudo udržujte granulární (bez NOPASSWD, pokud to není nezbytné) a zaznamenávejte eskalace oprávnění.

DNS, SMTP a další síťové služby

U autoritativních/rekurzivních DNS serverů (BIND/PowerDNS/Unbound) důsledně oddělujte role a aktivujte DNSSEC, limity rychlosti a ACL. U poštovních služeb (Postfix/Exim/Dovecot) zaveďte TLS, SPF/DKIM/DMARC, karanténu a antivirovou/antispamovou vrstvu. U DHCP/NTP omezte rozsahy přístupu, zaznamenávejte požadavky a v kritických prostředích zvažte režimy vysoké dostupnosti.

Firewall, síťová segmentace a mikrosegmentace

Na hostiteli používejte nftables (případně firewalld) s restriktivním výchozím nastavením. Povolujte pouze výslovně potřebné porty a protokoly a oddělte managementovou, aplikační a databázovou síť. V prostředích s kontejnery spravujte politiky také na úrovni CNI (NetworkPolicy) a udržujte konzistenci pravidel v CMDB.

SELinux/AppArmor a sandboxing služeb

Zvyšte zabezpečení pomocí povoleného SELinuxu v režimu enforcing nebo profilů AppArmor. U služeb systemd použijte direktivy sandboxingu, jako jsou ProtectSystem, ProtectHome, NoNewPrivileges, PrivateTmp, CapabilityBoundingSet a SystemCallFilter. Tím výrazně snížíte dopady případného kompromitování systému.

Šifrování, TLS a správa certifikátů

Aktualizujte systémové kryptografické politiky (např. update-crypto-policies v rodině RHEL). Preferujte moderní protokoly a sady šifer, omezte záložní mechanismy a vypněte zastaralé verze. Certifikáty spravujte centralizovaně (ACME/PKI), udržujte jejich krátkou platnost a automaticky je obnovujte. Privátní klíče uchovávejte bezpečně a s omezeným přístupem.

Konfigurační management a automatizace

V produkci se vyhněte manuálním zásahům. K deklarativní správě balíčků, konfigurací a služeb využijte nástroje jako Ansible, Puppet, Chef či Salt. Udržujte inventář, šablony a proměnné v Gitu, nasazujte prostřednictvím CI/CD s kontrolou změn a automatickými testy. Standardizace minimalizuje odchylky a urychluje obnovu po incidentu.

Kontejnerizace a integrace se systemd

Kontejnery (Podman/Docker) zjednodušují distribuci a izolaci služeb. Preferujte provoz bez oprávnění root (rootless), skenování obrazů a kořenové souborové systémy pouze pro čtení (read-only) s minimem oprávnění. Pro provoz vedle systemd používejte jednotky .service s restartovacími politikami a závislostmi na sítích/objemech. U služeb s více instancemi zvažte orchestrátor (Kubernetes) a deklarativní nasazení (Helm/Kustomize).

Logování, audit a observabilita

Centralizujte logy (journald, syslog-ng/rsyslog) v systému SIEM. Aktivujte audit (auditd, osquery) pro klíčové konfigurace a systémová volání. Metriky sbírejte pomocí Promethea/collectd/Node Exporteru, vizualizujte je v Grafaně a nastavte upozorňování. Sledujte dostupnost, latenci, využití zdrojů a chybovost na úrovni služeb i infrastruktury.

Zálohování, snapshoty a obnova

Definujte RPO/RTO a podle toho zvolte nástroje (Borg, Restic, Veeam, Bacula). U dat využívejte snapshoty souborových systémů (LVM, Btrfs, ZFS) nebo úložišť. Pravidelně testujte obnovu a kontrolujte integritu (hashi). Tajemství a klíče ukládejte šifrovaně a odděleně od záloh.

Výkon a škálování

Analyzujte profil zátěže a úzká hrdla (CPU, paměť, I/O, síť). Parametry jádra a služeb optimalizujte přiměřeně – vyhněte se globálním změnám bez měření. Využívejte horizontální škálování (load balancery, bezstavové návrhy), vrstvy mezipaměti a fronty. Dokumentujte výchozí stav a při změnách provádějte srovnávací testy.

Vysoká dostupnost (HA) a zotavení po havárii (DR)

Pro zajištění vysoké dostupnosti používejte redundantní instance a sdílená stavová úložiště (replikaci). Nástroje jako Keepalived (VRRP), Pacemaker/Corosync nebo nativní clusterovací funkce databází a zprostředkovatelů zpráv udržují služby dostupné i při výpadku. Zotavení po havárii zajistí asynchronní replikace do vzdálené lokality, pravidelná cvičení obnovy po havárii („fire drills“) a ověřené provozní postupy.

Bezpečnostní provoz: aktualizace a zranitelnosti

Automatizujte bezpečnostní aktualizace a mějte plán pro urgentní záplaty. Zařaďte skenery zranitelností a nástroje pro kontrolu souladu (OpenSCAP, Lynis) a pravidelně provádějte kontroly konfigurací podle benchmarků (CIS). Oddělte prostředí (dev/test/prod), provádějte vzájemné kontroly změn a uchovávejte auditní stopy.

Správa uživatelů, tajemství a identit

Ve větších prostředích využívejte centrální správu identit (LDAP/FreeIPA/SSSD) a role. Tajemství ukládejte do trezorů (HashiCorp Vault, Ansible Vault), nastavte krátkou životnost tokenů a rotaci klíčů. Na úrovni služeb používejte oddělené účty (system users) a omezené schopnosti; vyhýbejte se sdíleným účtům.

Testování konfigurací a změn

Před nasazením ověřujte konfigurace (lint, kontrola syntaxe) a nasazujte pomocí kanárkových a postupných nasazení. Kde je to možné, udržujte stagingové prostředí s realistickými daty (maskovanými či syntetickými). Incidenty řešte podle provozních postupů a každou událost uzavřete analýzou post-mortem a definováním konkrétních opatření.

Dokumentace a provozní standardy

Každá služba by měla mít přehledný provozní runbook: jak ji nasadit, aktualizovat, zálohovat, obnovit, monitorovat a odstavit. Dokumentujte síťové porty, závislosti a požadované kapacity. Tím zkrátíte dobu řešení incidentů a omezíte závislost na jednotlivcích.

Typické anti-patterny a jak se jim vyhnout

• „Sněhové vločky“: jedinečné ruční konfigurace bez verzování – řešení: Git a IaC.
• Vystavené služby bez TLS/ACL: vždy používejte šifrování a segmentaci.
• Ignorované logy a metriky: bez observability nelze řídit výkon ani bezpečnost.
• Monolitické servery „na všechno“: oddělujte role, používejte kontejnery nebo virtuální stroje.

Závěr: od instalace k udržitelnému provozu

Instalace služby v Linuxu je pouze první krok. Udržitelný a bezpečný provoz vyžaduje standardizaci, automatizaci, nepřetržitou observabilitu, pravidelné aktualizace a disciplinované řízení přístupů. Důsledné dodržování osvědčených postupů snižuje rizika, zvyšuje dostupnost a umožňuje rychlejší přinášení hodnoty uživatelům i podniku.