คู่มือติดตั้ง Rocky Linux Droplet บน DigitalOcean 2026

A step-by-step technical guide to setting up a secure Rocky Linux Droplet on DigitalOcean, covering SSH keys, SELinux, firewalld, and dnf package management.

Rocky Linux คือระบบปฏิบัติการที่ community พัฒนาขึ้นแทน CentOS หลังจาก Red Hat เปลี่ยนทิศทางไปเป็น CentOS Stream สำหรับผู้ที่ต้องการรัน Droplet บน DigitalOcean ด้วยระบบที่ binary-compatible กับ RHEL แต่ยังใช้งานได้ฟรี บทความนี้พาไล่ทีละขั้นตอนตั้งแต่สร้าง Droplet ไปจนถึงตั้งค่าความปลอดภัยพื้นฐานที่ต่างจากตระกูล Debian/Ubuntu อย่างชัดเจน ทั้ง dnf, firewalld และ SELinux

Rocky Linux คืออะไร ทางเลือกแทน CentOS

Rocky Linux เกิดขึ้นในปี 2021 หลังจาก Red Hat ประกาศเปลี่ยนทิศทางของ CentOS จากการเป็น downstream rebuild ของ RHEL (Red Hat Enterprise Linux) มาเป็น CentOS Stream ที่เป็น upstream แทน ทำให้ผู้ดูแลระบบจำนวนมากที่พึ่งพา CentOS สำหรับงาน production ต้องหาทางเลือกใหม่ Gregory Kurtzer หนึ่งในผู้ก่อตั้ง CentOS เดิม จึงเริ่มโปรเจกต์ Rocky Linux ขึ้นมาโดยมีเป้าหมายเดียวกับ CentOS ยุคแรก คือเป็น binary-compatible distribution กับ RHEL แบบ 1:1 ไม่มีค่าใช้จ่าย และไม่ผูกกับบริษัทใดบริษัทหนึ่ง ปัจจุบัน Rocky Linux อยู่ภายใต้การดูแลของ Rocky Enterprise Software Foundation (RESF) ซึ่งเป็นองค์กรไม่แสวงหากำไรที่มีสมาชิกจากหลายบริษัทร่วมสนับสนุน จุดต่างสำคัญระหว่าง Rocky Linux กับ Ubuntu หรือ Debian ที่นักพัฒนาคุ้นเคยอยู่ที่ package manager และ security model โดย Rocky ใช้ dnf (Dandified YUM) แทน apt ใช้ SELinux (Security-Enhanced Linux) เป็น mandatory access control แบบ enforcing ตั้งแต่ติดตั้งเสร็จ ในขณะที่ Ubuntu ใช้ AppArmor ซึ่งมีแนวทางการทำงานต่างกัน และใช้ firewalld เป็นตัวจัดการไฟร์วอลล์แทน ufw นอกจากนี้ Rocky Linux ยังตาม release cycle ของ RHEL ซึ่งแต่ละ major version (เช่น 9.x) จะได้รับการซัพพอร์ตยาวนานถึง 10 ปี (5 ปี full support บวก 5 ปี maintenance support) ทำให้เหมาะกับงานที่ต้องการความเสถียรระยะยาวมากกว่าการอัปเดตฟีเจอร์ใหม่บ่อยๆ สำหรับผู้ที่พิจารณาใช้ Rocky Linux บน DigitalOcean Droplet เหตุผลหลักมักเป็นเรื่องความเข้ากันได้กับซอฟต์แวร์ enterprise ที่ทดสอบบน RHEL, ความคุ้นเคยของทีมที่มาจากสาย CentOS/RHEL เดิม, ข้อกำหนดด้าน compliance บางอุตสาหกรรมที่ระบุ RHEL-compatible OS หรือกรณีที่ต้องรันซอฟต์แวร์ที่ distribute เป็น RPM package โดยเฉพาะ ส่วนคนที่เน้นความเรียบง่ายหรือ ecosystem ของ Ubuntu ที่มี tutorial เยอะกว่า อาจพบว่า Ubuntu หรือ Debian ตอบโจทย์ได้เร็วกว่าในช่วงเริ่มต้น

Rocky Linux emerged in 2021 after Red Hat announced a shift in CentOS's direction from a downstream rebuild of RHEL (Red Hat Enterprise Linux) to CentOS Stream, which serves as an upstream. This change forced many system administrators who relied on CentOS for production work to find a new alternative. Gregory Kurtzer, one of the original CentOS founders, launched the Rocky Linux project with a singular goal matching early CentOS: to be a binary-compatible distribution with RHEL on a 1:1 basis, free of charge, and not tied to any single company. Today, Rocky Linux is maintained by the Rocky Enterprise Software Foundation (RESF), a nonprofit organization with members from multiple companies providing support. The most significant differences between Rocky Linux and the Ubuntu or Debian distributions familiar to developers lie in the package manager and security model. Rocky uses dnf (Dandified YUM) instead of apt, enforces SELinux (Security-Enhanced Linux) as mandatory access control in enforcing mode from installation completion, whereas Ubuntu uses AppArmor with different operational principles, and manages the firewall using firewalld instead of ufw. Additionally, Rocky Linux follows RHEL's release cycle, where each major version (such as 9.x) receives support for as long as 10 years (5 years of full support plus 5 years of maintenance support), making it better suited for workloads prioritizing long-term stability over frequent feature updates. For those considering Rocky Linux on a DigitalOcean Droplet, the main reasons typically include compatibility with enterprise software tested on RHEL, team familiarity with CentOS/RHEL lineage, compliance requirements from certain industries that specify RHEL-compatible operating systems, or the need to run software distributed as RPM packages specifically. Meanwhile, those emphasizing simplicity or Ubuntu's larger ecosystem of tutorials may find that Ubuntu or Debian address their needs more quickly during initial setup.

• Rocky Linux ก่อตั้งปี 2021 โดย Gregory Kurtzer หลัง Red Hat เปลี่ยน CentOS เป็น CentOS Stream
• binary-compatible กับ RHEL แบบ 1:1 ดูแลโดยมูลนิธิ Rocky Enterprise Software Foundation (RESF)
• ใช้ dnf แทน apt, firewalld แทน ufw และ SELinux แบบ enforcing ตั้งแต่ติดตั้ง
• แต่ละ major version ได้รับซัพพอร์ตยาวถึง 10 ปี เหมาะกับงานที่เน้นความเสถียร

สร้าง Droplet Rocky Linux

จากการรีวิวหลายรอบ การสร้าง Droplet Rocky Linux บน DigitalOcean ทำผ่านหน้า Control Panel เหมือนการสร้าง Droplet ระบบอื่นทั่วไป เริ่มจากกด Create > Droplets แล้วเลือกแท็บ Distributions จากนั้นเลือก Rocky Linux และเวอร์ชันที่มีให้เลือก ระบบจะให้เลือก Region ซึ่งมีให้บริการครบทั้ง 15 ดาต้าเซ็นเตอร์เหมือน Droplet ทั่วไป สำหรับผู้ใช้ในประเทศไทยแนะนำให้เลือก sgp1 (สิงคโปร์) เพราะ latency ต่ำที่สุด รองลงมาคือ blr1 (บังกาลอร์) ขั้นตอนถัดมาคือเลือกขนาด Droplet จากกลุ่ม Basic (Shared CPU) ซึ่งราคาเริ่มต้นที่ $4/เดือน สำหรับ 512 MiB RAM, 1 vCPU, 10GB SSD และ 500GiB transfer แต่สำหรับ Rocky Linux ที่มักใช้รันงาน production หรือ service ที่ต้องการ SELinux และ firewalld ทำงานเต็มที่ ควรเริ่มต้นอย่างน้อยที่แผน $12/เดือน (2GiB RAM, 1 vCPU, 50GB SSD, 2,000GiB transfer) เพื่อให้มี headroom เพียงพอสำหรับ dnf update และ service ที่รันพร้อมกันหลายตัว ถ้าต้องการ vCPU มากกว่า 1 core แผน $18/เดือน (2GiB RAM, 2 vCPU, 60GB SSD) ก็เป็นอีกตัวเลือกที่คุ้มค่า ในขั้นตอน Authentication ให้เลือก SSH keys แทน Password เสมอ (อัปโหลด public key ที่มีอยู่แล้ว หรือสร้างใหม่ผ่าน ssh-keygen -t ed25519 ก่อนหน้านี้) ส่วน Hostname ตั้งชื่อให้สื่อความหมาย เช่น rocky-web-01 เพื่อให้จัดการง่ายเมื่อมีหลาย Droplet จากนั้นกด Create Droplet ระบบจะใช้เวลาประมาณ 1 นาทีในการ provision หมายเหตุเรื่องการคิดเงิน: ตั้งแต่ 1 มกราคม 2026 DigitalOcean คิดค่าบริการ Droplet แบบ per-second billing โดยมี minimum charge ที่ 60 วินาที หรือ $0.01 แล้วแต่ว่าค่าไหนสูงกว่า หมายความว่าแม้จะทดสอบสร้างแล้วลบ Droplet ภายในไม่กี่วินาที ก็ยังมีค่าใช้จ่ายขั้นต่ำเกิดขึ้นเสมอ ควรวางแผนการทดสอบให้เหมาะสมถ้ามีการสร้าง-ลบ Droplet บ่อยครั้ง

• Create > Droplets > Distributions > เลือก Rocky Linux
• Region แนะนำ sgp1 (สิงคโปร์) หรือ blr1 (บังกาลอร์) สำหรับผู้ใช้ไทย
• แผนเริ่มต้นที่แนะนำ $12/เดือน (2GiB RAM/1vCPU/50GB SSD) ขึ้นไปสำหรับงาน production
• เลือก SSH keys เป็นวิธี Authentication แทน Password ตั้งแต่ขั้นตอนสร้าง

ตั้งค่า SSH Key และ SELinux เบื้องต้น

ถ้าเลือกเพิ่ม SSH key ไว้ตอนสร้าง Droplet แล้ว การ SSH เข้าเครื่องครั้งแรกจะทำได้ทันทีด้วย ssh root@your_droplet_ip โดยไม่ต้องใส่รหัสผ่าน แต่ถ้าลืมเพิ่ม key ไว้ตอนสร้าง สามารถ copy key ไปยัง Droplet ภายหลังด้วย ssh-copy-id root@your_droplet_ip จากนั้นควรปิดการล็อกอินด้วยรหัสผ่านทันทีเพื่อลดความเสี่ยงจากการโจมตีแบบ brute-force โดยแก้ไฟล์ /etc/ssh/sshd_config ตั้งค่า PasswordAuthentication no และ PermitRootLogin prohibit-password แล้ว restart service ด้วย systemctl restart sshd — ข้อควรระวังคือต้องทดสอบ login ด้วย key สำเร็จก่อนปิด password authentication เสมอ เพื่อไม่ให้ตัวเองล็อกตัวเองออกจากเครื่อง ส่วนที่เป็นจุดต่างชัดเจนที่สุดจากตระกูล Debian/Ubuntu คือ SELinux ซึ่ง Rocky Linux เปิดใช้งานแบบ enforcing ตั้งแต่ติดตั้งเสร็จ ตรวจสอบสถานะปัจจุบันได้ด้วยคำสั่ง sestatus หรือ getenforce ซึ่งควรแสดงผลเป็น Enforcing โดยค่าเริ่มต้น SELinux ทำงานบนหลักการ mandatory access control คือกำหนด context (label) ให้กับไฟล์ โปรเซส และพอร์ตเครือข่าย แล้วอนุญาตเฉพาะการกระทำที่ policy ระบุไว้เท่านั้น ต่างจาก AppArmor ของ Ubuntu ที่ทำงานแบบ path-based ปัญหาที่พบบ่อยที่สุดสำหรับผู้ที่ไม่คุ้นเคยคือ service ทำงานไม่ได้ทั้งที่ config ถูกต้องทุกอย่าง เช่น Nginx อ่านไฟล์จาก directory ที่ไม่ใช่ /var/www ไม่ได้ เพราะ context ของไฟล์ไม่ตรงกับที่ policy อนุญาต วิธีแก้ที่ถูกต้องคือปรับ context ให้ตรงด้วย semanage fcontext และ restorecon แทนการปิด SELinux ทั้งระบบ เช่น semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?" ตามด้วย restorecon -Rv /data/www หากต้องการเปิดพอร์ตที่ไม่ใช่ค่ามาตรฐานให้ service ใดใช้งาน ให้ใช้ semanage port -a -t http_port_t -p tcp 8080 ส่วนการตรวจสอบว่า SELinux บล็อกอะไรไปบ้างดูได้จาก ausearch -m avc -ts recent หรือ journalctl -t setroubleshoot

• ทดสอบ SSH login ด้วย key ให้สำเร็จก่อนปิด PasswordAuthentication ใน sshd_config เสมอ
• ตรวจสถานะ SELinux ด้วย sestatus หรือ getenforce (ค่าเริ่มต้นคือ Enforcing)
• แก้ปัญหา context ผิดด้วย semanage fcontext + restorecon แทนการปิด SELinux ทั้งระบบ
• เปิดพอร์ตนอกมาตรฐานให้ SELinux อนุญาตด้วย semanage port -a

สร้าง User + sudo

การรันงานทุกอย่างด้วย root โดยตรงเป็นความเสี่ยงด้านความปลอดภัย ขั้นตอนมาตรฐานหลังสร้าง Droplet เสร็จคือสร้าง user ใหม่สำหรับใช้งานประจำวันแล้วให้สิทธิ์ sudo แทน บน Rocky Linux ใช้คำสั่ง useradd ไม่ใช่ adduser แบบ interactive ที่ Ubuntu ใช้ (Rocky มี adduser เป็นเพียง symlink ไปยัง useradd แต่ไม่มี prompt แบบ Debian) คำสั่งที่ใช้บ่อยคือ useradd -m -G wheel deploy โดย -m คือสร้าง home directory ให้อัตโนมัติ และ -G wheel คือเพิ่ม user เข้ากลุ่ม wheel ซึ่งเป็นกลุ่มที่ RHEL-family ใช้สำหรับกำหนดสิทธิ์ sudo (เทียบเท่ากลุ่ม sudo บน Ubuntu) จากนั้นตั้งรหัสผ่านด้วย passwd deploy ค่าเริ่มต้นของ Rocky Linux กลุ่ม wheel อาจยังไม่ได้เปิดสิทธิ์ sudo ให้อัตโนมัติ ต้องตรวจสอบและแก้ไฟล์ sudoers ด้วยคำสั่ง visudo (ห้ามแก้ไฟล์ /etc/sudoers ตรงๆ ด้วย text editor ทั่วไปเพราะเสี่ยง syntax error ที่ทำให้ sudo ใช้งานไม่ได้เลยทั้งระบบ) แล้วมองหาบรรทัด %wheel ALL=(ALL) ALL เอา comment ออกถ้ายังถูก comment ไว้ หลังจากนั้นให้ copy SSH public key ไปยัง user ใหม่ด้วยการสร้างโฟลเดอร์ ~deploy/.ssh คัดลอกไฟล์ authorized_keys จาก root แล้วปรับสิทธิ์ให้ถูกต้องด้วย chmod 700 ~deploy/.ssh และ chmod 600 ~deploy/.ssh/authorized_keys พร้อม chown -R deploy:deploy ~deploy/.ssh ก่อนปิดการเข้าถึง root ทาง SSH ควรทดสอบ login ด้วย user ใหม่และรัน sudo -l เพื่อยืนยันว่าสิทธิ์ sudo ทำงานถูกต้อง รวมถึงลองรันคำสั่งที่ต้องใช้สิทธิ์ระดับสูงอย่าง sudo dnf update เพื่อให้แน่ใจว่า workflow การดูแลระบบหลังจากนี้ไม่ต้อง login เป็น root โดยตรงอีกต่อไป

• useradd -m -G wheel deploy สร้าง user พร้อม home directory และเข้ากลุ่ม wheel
• passwd deploy ตั้งรหัสผ่าน (ใช้เป็น fallback เท่านั้น ไม่ใช่วิธี login หลัก)
• visudo เปิด comment บรรทัด %wheel ALL=(ALL) ALL ถ้ายังไม่เปิด
• copy authorized_keys ไปยัง user ใหม่พร้อมตั้งสิทธิ์ 700/600 ให้ถูกต้อง

เปิด Firewall ด้วย firewalld

จุดที่ผู้ใช้มักถามมาคือ rocky Linux ใช้ firewalld เป็นตัวจัดการไฟร์วอลล์เริ่มต้นแทน ufw ที่ Ubuntu ใช้ โดย firewalld ทำงานบนแนวคิด zone ซึ่งแต่ละ zone มีชุดกฎของตัวเอง และ interface หรือ source ใดๆ จะถูกผูกเข้ากับ zone หนึ่ง ค่าเริ่มต้นของ Droplet ทั่วไปจะอยู่ใน zone public ตรวจสอบสถานะการทำงานของ service ก่อนด้วย systemctl status firewalld และดู zone ที่ใช้งานอยู่ด้วย firewall-cmd --get-active-zones การเปิด service มาตรฐานทำได้ง่ายกว่าการเปิดพอร์ตตรงๆ เพราะ firewalld มี service definition สำเร็จรูปให้อยู่แล้ว เช่น เปิด SSH ด้วย firewall-cmd --permanent --add-service=ssh เปิดเว็บด้วย firewall-cmd --permanent --add-service=http และ firewall-cmd --permanent --add-service=https ส่วนพอร์ตที่ไม่มี service สำเร็จรูป เช่น application server ที่รันพอร์ต 3000 ใช้ firewall-cmd --permanent --add-port=3000/tcp ได้เช่นกัน ข้อสำคัญคือทุกคำสั่งที่ใส่ --permanent จะยังไม่มีผลจนกว่าจะรัน firewall-cmd --reload เพื่อโหลดกฎใหม่เข้าสู่ runtime configuration และตรวจสอบผลลัพธ์ทั้งหมดด้วย firewall-cmd --list-all ข้อควรระวังสำคัญคือต้องเปิดพอร์ต SSH ให้เรียบร้อยก่อนเสมอ ก่อนจะ reload หรือ enable firewalld ครั้งแรก เพราะถ้าพลาดปิดพอร์ต SSH ไปโดยไม่ตั้งใจจะเข้าเครื่องผ่าน SSH ไม่ได้อีกเลย (ต้องพึ่ง DO Console ผ่านหน้าเว็บ Control Panel เพื่อกู้คืน) นอกจากไฟร์วอลล์ระดับ OS แล้ว DigitalOcean ยังมี Cloud Firewall ซึ่งทำงานที่ระดับเครือข่ายก่อนทราฟฟิกจะถึง Droplet เลยด้วยซ้ำ และไม่มีค่าใช้จ่ายเพิ่มเติม แนะนำให้ใช้ควบคู่กับ firewalld เป็นการป้องกันสองชั้น (defense in depth) โดยตั้งกฎ Cloud Firewall ให้ตรงกับ service ที่เปิดจริงเสมอเพื่อไม่ให้เกิดความสับสนว่าทราฟฟิกถูกบล็อกที่ชั้นไหน

1. ตรวจ zone ที่ใช้งานด้วย firewall-cmd --get-active-zones (ปกติคือ public)
2. เปิด service มาตรฐานด้วย firewall-cmd --permanent --add-service=ssh/http/https
3. เปิดพอร์ตที่ไม่มี service สำเร็จรูปด้วย --add-port เช่น 3000/tcp
4. ต้องรัน firewall-cmd --reload ทุกครั้งหลังเพิ่มกฎแบบ --permanent
5. ใช้ DigitalOcean Cloud Firewall (ฟรี) ควบคู่กับ firewalld เป็นการป้องกันสองชั้น

อัปเดตระบบด้วย dnf

หลังตั้งค่าความปลอดภัยพื้นฐานเสร็จ ขั้นตอนถัดมาคือปรับระบบให้เป็นปัจจุบันด้วย dnf (Dandified YUM) ซึ่งเป็น package manager หลักของ Rocky Linux แทน apt คำสั่งแรกที่ควรรันคือ sudo dnf update -y เพื่ออัปเดตทุก package รวมถึง security patch ล่าสุด ต่างจาก apt ที่แยกขั้นตอน update (รายการ) กับ upgrade (ติดตั้งจริง) ออกจากกัน dnf update จะทำทั้งสองอย่างในคำสั่งเดียว หลัง update เสร็จควรรัน sudo dnf autoremove เพื่อล้าง package ที่ไม่จำเป็นออกจากระบบ สำหรับ package บางตัวที่ไม่มีอยู่ใน repository มาตรฐานของ RHEL/Rocky ให้เปิดใช้ EPEL (Extra Packages for Enterprise Linux) ด้วย sudo dnf install epel-release -y ก่อน แล้วจึง dnf install package ที่ต้องการตามปกติ ส่วนซอฟต์แวร์บางกลุ่มอย่าง PostgreSQL หรือ Node.js ที่มีหลายเวอร์ชันให้เลือก Rocky Linux ใช้ระบบ dnf module ตรวจดู stream ที่มีให้ด้วย dnf module list postgresql แล้วเลือกเปิดใช้ stream ที่ต้องการก่อนติดตั้ง การตั้งค่าพื้นฐานอื่นที่ควรทำควบคู่กันคือ timezone และ hostname ตั้ง timezone ด้วย sudo timedatectl set-timezone Asia/Bangkok และตั้งชื่อเครื่องด้วย sudo hostnamectl set-hostname rocky-web-01 ให้ตรงกับที่ตั้งไว้ตอนสร้าง Droplet สุดท้ายสำหรับระบบที่ต้องการ security patch อัตโนมัติโดยไม่ต้อง SSH เข้าไปรันเองทุกครั้ง ติดตั้ง dnf-automatic ด้วย sudo dnf install dnf-automatic แล้วเปิดใช้งาน timer ด้วย sudo systemctl enable --now dnf-automatic.timer โดยแนะนำให้ตั้งค่าใน /etc/dnf/automatic.conf ให้ apply เฉพาะ security update อัตโนมัติ ส่วนการอัปเดตแบบทั่วไปที่อาจกระทบ compatibility ควรทำแบบ manual และทดสอบก่อนเสมอ โดยเฉพาะกับ production server

• sudo dnf update -y อัปเดตทุก package รวม security patch ในคำสั่งเดียว
• dnf autoremove ล้าง package ที่ไม่ใช้แล้วออกจากระบบ
• เปิด EPEL repository ด้วย dnf install epel-release สำหรับ package นอก RHEL มาตรฐาน
• ตั้ง timezone/hostname ด้วย timedatectl และ hostnamectl

ข้อผิดพลาดที่พบบ่อยและวิธีแก้ไข

ข้อผิดพลาดอันดับต้นๆ ที่ผู้ที่ย้ายมาจาก Ubuntu/Debian มักเจอบน Rocky Linux คือการรันคำสั่ง apt หรือ apt-get ตามความเคยชิน ซึ่งจะได้ error command not found ทันทีเพราะ Rocky ไม่มี apt ติดตั้งมาให้ ต้องปรับ muscle memory ไปใช้ dnf แทนทุกครั้ง เช่นเดียวกับการรัน adduser username แล้วคาดหวัง prompt แบบ interactive ของ Debian ซึ่งบน Rocky จะสร้าง user แบบไม่มี prompt ใดๆ เพราะเป็นเพียง symlink ของ useradd ปัญหาที่พบบ่อยรองลงมาคือ service รันไม่ได้ทั้งที่ config ถูกต้องและพอร์ตเปิดใน firewalld แล้ว ซึ่งมักมีสาเหตุจาก SELinux บล็อกอยู่เบื้องหลังโดยไม่มี error message ที่ชัดเจนในบาง log แนะนำให้เช็ค journalctl -t setroubleshoot หรือ ausearch -m avc -ts recent ทุกครั้งที่ service ทำงานผิดปกติโดยไม่มีเหตุผลชัดเจน แทนที่จะรีบใช้ setenforce 0 ปิด SELinux ทั้งระบบ ซึ่งแก้ปัญหาเฉพาะหน้าได้จริงแต่เปิดความเสี่ยงด้านความปลอดภัยไปทั้งเครื่องอย่างถาวรถ้าลืมเปิดกลับ อีกจุดที่พลาดกันบ่อยคือการปิด PasswordAuthentication ใน sshd_config ก่อนทดสอบว่า SSH key login ใช้งานได้จริง ทำให้ตัวเองล็อกตัวเองออกจากเครื่องโดยไม่มีทางเข้าถึงได้อีก นอกจาก DO Console (recovery console ผ่านหน้าเว็บ) ซึ่งใช้งานได้ช้ากว่า SSH ปกติมาก ควรเปิด terminal คู่ขนานไว้ทดสอบ login ด้วย user/key ใหม่ก่อนปิดช่องทางเดิมเสมอ สุดท้ายคือการลืม reload firewalld หลังเพิ่มกฎแบบ --permanent ทำให้กฎที่เพิ่มดูเหมือนใช้งานได้ (เพราะ firewall-cmd แสดงผลว่าเพิ่มสำเร็จ) แต่จริงๆ ยังไม่มีผลจนกว่าจะรัน firewall-cmd --reload หรือ restart service รวมถึงบางกรณี dnf update ค้างเพราะ metadata cache เก่า แก้ได้ด้วย dnf clean all ตามด้วย dnf makecache ก่อนลองอัปเดตใหม่อีกครั้ง

• ใช้ dnf แทน apt/apt-get เสมอ — Rocky Linux ไม่มี apt ติดตั้งมาให้
• เช็ค journalctl -t setroubleshoot หรือ ausearch ก่อนปิด SELinux ด้วย setenforce 0
• ทดสอบ SSH key login สำเร็จก่อนปิด PasswordAuthentication เสมอ

แนวทางปฏิบัติที่ดีที่สุด (Best Practices)

เมื่อ Rocky Linux Droplet พร้อมใช้งานแล้ว มีแนวทางหลายข้อที่ช่วยให้ระบบปลอดภัยและดูแลรักษาง่ายในระยะยาว ข้อแรกคือควรปล่อยให้ SELinux อยู่ในโหมด Enforcing เสมอ ไม่ปิดหรือเปลี่ยนเป็น Permissive แบบถาวร เพราะเป็นชั้นป้องกันสำคัญที่ทำให้แม้ process หนึ่งถูกเจาะสำเร็จ ก็ยังถูกจำกัดขอบเขตความเสียหายไว้ในระดับหนึ่ง หากจำเป็นต้องแก้ policy ให้ใช้ audit2allow สร้าง custom module เฉพาะจุดแทนการปิดทั้งระบบ ข้อสองคือติดตั้ง fail2ban เพื่อป้องกัน brute-force บน SSH โดย fail2ban อยู่ใน EPEL repository ติดตั้งได้ผ่าน dnf install fail2ban หลังเปิด epel-release แล้ว ทำงานร่วมกับ firewalld ได้โดยตรงผ่าน fail2ban-firewalld action ข้อสามคือตั้ง Droplet Snapshot เป็นประจำสำหรับ Droplet ที่มีข้อมูลสำคัญ ซึ่งมีค่าใช้จ่าย $0.06 ต่อ GiB ต่อเดือน ถูกกว่าการสูญเสียข้อมูลจากเหตุการณ์ไม่คาดฝันมาก และสามารถใช้ Snapshot เป็นต้นแบบสร้าง Droplet ใหม่ได้อย่างรวดเร็วถ้าต้อง scale หรือ recover ข้อสี่คือเปิดใช้ DigitalOcean Monitoring ซึ่งเป็นฟีเจอร์ฟรีในตัว ให้เห็น CPU, RAM, Disk และ Bandwidth แบบ real-time พร้อมตั้ง Alert Policy แจ้งเตือนผ่านอีเมลเมื่อทรัพยากรใกล้เต็ม ช่วยจับปัญหาก่อนที่ user จะรู้สึกได้ ข้อห้าคือจัดการ patch แยกสองระดับ ให้ security update วิ่งอัตโนมัติผ่าน dnf-automatic แต่ major/minor version upgrade ที่อาจกระทบ compatibility ให้ทดสอบบน staging environment ก่อนเสมอ โดยเฉพาะกับ RHEL-family ที่ release cycle ยาว การข้าม minor version หลายเวอร์ชันพร้อมกันมีความเสี่ยงสูงกว่าปกติ สุดท้ายคือเก็บบันทึกกฎ firewalld และ SELinux policy ที่ปรับแต่งไว้เป็นเอกสารหรือ script แยกต่างหาก (infrastructure as code) เพื่อให้ทีมสร้าง Droplet ใหม่ที่มีการตั้งค่าเหมือนเดิมได้เร็ว แทนการจดจำขั้นตอนที่ทำแบบ manual ไว้ในหัวคนเดียว

• คง SELinux ในโหมด Enforcing เสมอ ใช้ audit2allow แก้ policy เฉพาะจุดแทนการปิดทั้งระบบ
• ติดตั้ง fail2ban ผ่าน EPEL ป้องกัน brute-force บน SSH
• ตั้ง Droplet Snapshot สม่ำเสมอ ($0.06/GiB/เดือน) สำหรับ recovery และ scale
• เปิด DigitalOcean Monitoring ฟรี + ตั้ง Alert Policy แจ้งเตือนทรัพยากรใกล้เต็ม

รับ $200 Free Credit →