Пишем ansible playbook для начальной настройки Linux сервера

# устанавливаем ansible
sudo apt update && sudo apt install -y ansible

# создаем директории Ansible
mkdir -p ~/ansible/{playbooks,roles}

# создаем конфиг файл
nvim ~/ansible/ansible.cfg

[defaults]
home = ~/ansible/
inventory = ~/ansible/inventory.yml
playbook_dir = ~/ansible/playbooks/
roles_path = ~/ansible/roles/
host_key_checking = False

# создаем файл инвентаризации
nvim ~/ansible/inventory.yml

all:
  hosts:
    debian12:
      ansible_host: 192.168.122.136
      ansible_port: 22
      ansible_user: root
      ansible_ssh_private_key_file: ~/.ssh/id_rsa
      # ansible_password: "Pa$$w0rD"
    ubuntu24:
      ansible_host: 192.168.122.11
      ansible_port: 22
      ansible_user: root
      ansible_ssh_private_key_file: ~/.ssh/id_rsa
      # ansible_become_password: "Pa$$w0rD"

ansible-galaxy collection list community.general

ansible-galaxy collection install community.general

# установка git
sudo apt install -y git

# клонирование репозитория во временную папку
git clone https://github.com/r4ven-me/ansible /tmp/ansible

# копирование роли в рабочую папку
cp -r /tmp/ansible/roles/linux-base-config ~/ansible/roles/

# очистка
rm -rf /tmp/ansible

# переход в рабочую папку
cd ~/ansible/

ls -l --tree --sort=type ./roles/linux-base-config

---
### Переменные по умолчанию

# --- ФЛАГИ --- #
server_config: false
server_reboot: false
user_config: false

# --- ПОЛЬЗОВАТЕЛЬ --- #
user_name: "ivan"
user_home: "/home/{{ user_name }}"
# use 'mkpasswd --method=sha-512' command to generate password hash (whois pkg)
user_password: "$6$gKi8acqF5AxMpHKK$mSaoEkOH8WMjvMxEH2/azDr08ypzu1OGIUaprYhwsoGFAG69S917bCZ4SRP1I5.iRpk4.Mw6pLHo/mklYPA7g0"
user_groups:
  - "users"
  - "adm"
  - "sudo"
user_shell: "/usr/bin/zsh"
user_ssh_pubkey: "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAINQdlmVhGAz7z3NrJ6/goVtpeVf+xEjeZfZWfA55whZO ivan@r4ven-me"
user_pkgs:
  - "zsh"
  - "neovim"
  - "tmux"
  - "fzf"
  - "git"
  - "curl"
  - "shellcheck"
  - "pylint"
  - "yamllint"
  - "bat"
  - "{{ 'exa' if ansible_facts['distribution'] == 'Debian' and ansible_facts['distribution_major_version'] <= '12' else 'eza' }}"

# --- СЕРВЕР --- #
server_root_password: "$6$jGYWmPob7wv9CQgB$KZPaEoXI39GPQp4pi08T1e9d6CT9BqNqGixBJ.CXn1ArUQQ1Lnnlr0lD7pFnVw7r3/5syDebNbK7HkSGLTHX8."
server_timezone: "Europe/Moscow"
server_hostname: "{{ inventory_hostname }}"
server_hosts:
  - "127.0.0.1 {{ server_hostname }}"
  - "127.0.1.1 {{ server_hostname }}"
server_locales:
  - "en_US.UTF-8"
  - "ru_RU.UTF-8"
server_swap_size: "2048"
server_journald_params:
  - {key: "SystemMaxUse", value: "800M"}
  - {key: "MaxFileSec", value: "2week"}
server_ssh_port: "2222"
server_ssh_params:
  - {key: "Port", value: "{{ server_ssh_port }}"}
  - {key: "AddressFamily", value: "inet"}
  - {key: "PermitEmptyPasswords", value: "no"}
  - {key: "PermitRootLogin", value: "no"}
  - {key: "PubkeyAuthentication", value: "yes"}
  - {key: "PasswordAuthentication", value: "no"}
  - {key: "AllowUsers", value: "{{ user_name }}"}
server_ufw_ports:
  - "22"
  - "{{ server_ssh_port }}"
  - "443"
  - "80"
  - "53"
server_pkgs:
  - "sudo"
  - "locales"
  - "ufw"
  - "software-properties-common"
  - "ca-certificates"
  - "net-tools"
  - "dnsutils"
  - "mtr-tiny"
  - "nload"
  - "ncat"
  - "wget"
  - "curl"
  - "git"
  - "mc"
  - "neovim"
  - "tmux"

---
### Обработчики

- name: Enable swap on startup  # Включает swap при загрузке системы
  ansible.builtin.lineinfile:
    path: "/etc/fstab"  # Файл конфигурации монтирования
    regexp: "^/swap"  # Проверяет наличие строки, начинающейся с /swap
    line: '/swap none swap sw 0 0'  # Добавляет строку для монтирования swap
    state: present  # Убеждается, что строка присутствует в файле

- name: Reload sysctl  # Применяет настройки sysctl
  ansible.builtin.shell: "sysctl -p"
  ignore_errors: true  # Игнорирует ошибки при выполнении

- name: Restart journald service  # Перезапускает systemd-journald
  ansible.builtin.systemd_service:
    name: systemd-journald  # Имя службы
    state: restarted  # Перезапуск службы

- name: Restart ufw service  # Перезапускает UFW (брандмауэр)
  ansible.builtin.systemd_service:
    name: ufw  # Имя службы
    state: restarted  # Перезапуск службы
    enabled: true  # Включает службу при загрузке

- name: Restart sshd service  # Перезапускает SSH-сервер (имя определяется в зависимости от ОС)
  ansible.builtin.systemd_service:
    name: >-
      {%- if ansible_facts['distribution'] == 'Debian' -%}
        sshd
      {%- elif ansible_facts['distribution'] == 'Ubuntu' -%}
        ssh
      {%- else -%}
        ssh
      {%- endif -%}
    daemon_reload: true  # Перечитывает конфиг systemd при изменениях
    state: restarted  # Перезапуск службы

- name: Reboot system  # Перезагружает систему
  ansible.builtin.shell: "sleep 5 && reboot"
  async: 1  # Запускает команду асинхронно
  poll: 0  # Не ожидает завершения команды

- name: Delete ufw rule for default ssh port  # Удаляет правило UFW для порта 22
  community.general.ufw:
    rule: allow  # Тип правила (разрешить)
    port: 22  # Порт, который удаляется
    proto: tcp  # Протокол (TCP)
    delete: true  # Удаление правила
  when: server_config == true and ansible_facts['user_id'] == "root" # Условия выполнения

- name: Wait for online  # Ожидает, пока сервер станет доступным
  ansible.builtin.wait_for_connection:
    connect_timeout: 15  # Тайм-аут на подключение
    sleep: 5  # Пауза перед следующей попыткой
    delay: 40  # Задержка перед началом ожидания
    timeout: 300  # Общее время ожидания
  become: false # Выполнение от непривилегированного пользователя
  vars:
    ansible_port: "{{ server_ssh_port }}" # Обновление значения порта подключения
    ansible_user: "{{ user_name }}" # Обновление значения пользователя подключения

---
### Метаинформация о роли

galaxy_info:
  author: Ivan Cherniy  # Автор роли
  description: Basic configuration for linux server  # Описание роли
  company: r4ven.me  # Название компании или проекта

  license: GPL-2.0  # Лицензия, по которой распространяется роль

  min_ansible_version: 2.1  # Минимальная версия Ansible для работы роли

  platforms:  # Поддерживаемые платформы
    - name: Debian
      versions:
        - 12  # Поддерживаемая версия Debian
    - name: Ubuntu
      versions:
        - 24  # Поддерживаемая версия Ubuntu

  galaxy_tags: []  # Теги для поиска в Ansible Galaxy (не заданы)

dependencies: []  # Зависимости (если есть другие роли, которые требуется установить)

---
### Файл задач для базовой настройки сервера

- name: Check flags  # Проверяет, установлен ли хотя бы один из флагов
  ansible.builtin.debug:
    msg: "At least one of the flags should be set to true:
      server_config | user_config | server_reboot"  # Выводит сообщение, если флаги не установлены
  changed_when: true  # Помечает задачу как изменённую (для корректного триггера обработчиков)
  when: (server_config and user_config and server_reboot) != true  # Проверяет, что хотя бы один флаг установлен
  tags:
    - check_flags  # Метка для запуска этой задачи отдельно

- import_tasks: server_config.yml  # Импорт задач настройки сервера
  when: server_config == true and ansible_facts['user_id'] == "root" # Выполняется, если server_config установлен в true и пользователь root
  tags:
    - server_config  # Метка для удобного запуска этой части задач

- import_tasks: user_config.yml  # Импорт задач настройки пользователя
  when: user_config == true  # Выполняется, если user_config установлен в true
  tags:
    - user_config  # Метка для запуска этой части задач

- name: Init reboot handlers  # Инициализирует обработчики для перезагрузки сервера
  ansible.builtin.debug:
    msg: "Running handlers..."  # Выводит сообщение о запуске обработчиков
  notify:  # Запускает обработчики при изменениях
    - Reboot system  # Перезагружает систему
    - Delete ufw rule for default ssh port  # Удаляет правило UFW для стандартного порта SSH
    - Wait for online  # Ждёт, пока сервер снова станет доступным
  when: server_reboot == true  # Выполняется, если server_reboot установлен в true
  changed_when: true  # Помечает задачу как изменённую
  tags:
    - reboot  # Метка для запуска этой части задач

---
### Конфигурация сервера

- name: Change root password  # Устанавливает пароль для root
  ansible.builtin.user:
    name: "root"  # Имя пользователя
    password: "{{ server_root_password }}"  # Новый пароль
  tags:
    - root  # Метка для фильтрации задач

- name: Set timezone  # Устанавливает часовой пояс
  community.general.timezone:
    name: "{{ server_timezone }}"  # Часовой пояс из переменной
  tags:
    - timezone

- name: Change hostname  # Изменяет имя хоста
  ansible.builtin.lineinfile:
    path: "/etc/hostname"  # Файл с именем хоста
    regexp: "^.*$"  # Заменяет всю строку
    line: "{{ server_hostname }}"  # Новое имя хоста
  tags:
    - hostname

- name: Set hosts  # Добавляет записи в /etc/hosts
  ansible.builtin.lineinfile:
    path: "/etc/hosts"  # Файл hosts
    line: "{{ item }}"  # Строка с записью
    state: present  # Убеждается, что строка присутствует
  loop: "{{ server_hosts }}"  # Перебирает список хостов
  tags:
    - hosts

- name: Config locales  # Устанавливает локали
  community.general.locale_gen:
    name: "{{ item }}"  # Название локали
    state: present  # Убеждается, что локаль установлена
  loop: "{{ server_locales }}"  # Перебирает список локалей
  tags:
    - locales

- name: Update system and install pkgs  # Обновляет систему и устанавливает пакеты
  block:
    - name: Cache update and system upgrade  # Обновляет кэш пакетов и выполняет обновление
      ansible.builtin.apt:
        upgrade: true  # Выполняет обновление системы
        update_cache: true  # Обновляет кэш пакетов

    - name: Install pkgs  # Устанавливает необходимые пакеты
      ansible.builtin.apt:
        name: "{{ server_pkgs }}"  # Список пакетов
        state: present  # Убеждается, что пакеты установлены
  when: ansible_distribution == 'Debian' or ansible_distribution == 'Ubuntu'  # Выполняется только для Debian и Ubuntu
  tags:
    - pkgs

- name: Config SWAP  # Настраивает файл подкачки
  block:
    - name: Checking if swap partition exists  # Проверяет, существует ли swap
      ansible.builtin.shell: "swapon -s | grep -q /"
      register: swap_status  # Сохраняет статус выполнения команды
      ignore_errors: true  # Игнорирует ошибки
      changed_when: false  # Не помечает задачу как изменённую
      failed_when: false  # Не считает ошибку критической

    - name: Make swap file  # Создаёт файл подкачки
      ansible.builtin.command: "{{ item }}"
      loop:
        - "dd if=/dev/zero of=/swap bs=1M count={{ server_swap_size }}"  # Создаёт файл
        - "chmod 600 /swap"  # Устанавливает права доступа
        - "mkswap /swap"  # Форматирует файл подкачки
        - "swapon /swap"  # Включает swap
      when: swap_status.rc != 0  # Выполняется, если swap отсутствует
      notify: Enable swap on startup  # Запускает задачу включения swap при загрузке
  tags:
    - swap

- name: Disable ipv6 in system  # Отключает IPv6 в системе
  ansible.builtin.lineinfile:
    path: "/etc/sysctl.conf"  # Файл конфигурации sysctl
    regexp: "^{{ item.key }}"  # Ищет строку по ключу
    line: "{{ item.key }} = {{ item.value }}"  # Добавляет или заменяет строку
    state: present  # Убеждается, что строка присутствует
    create: true  # Создаёт файл, если он отсутствует
  loop:
    - {key: "net.ipv6.conf.all.disable_ipv6", value: "1"}
    - {key: "net.ipv6.conf.default.disable_ipv6", value: "1"}
    - {key: "net.ipv6.conf.lo.disable_ipv6", value: "1"}
  notify: Reload sysctl  # Перезапускает sysctl для применения изменений
  tags:
    - ipv6

- name: Disable ipv6 in UFW  # Отключает IPv6 в UFW (брандмауэре)
  ansible.builtin.lineinfile:
    path: /etc/default/ufw  # Файл конфигурации UFW
    regexp: "^IPV6=yes"  # Ищет строку с включённым IPv6
    line: "IPV6=no"  # Отключает IPv6
  tags:
    - ipv6

- name: Allow ports from list in UFW  # Разрешает список портов в UFW
  community.general.ufw:
    rule: allow  # Разрешает соединения
    port: "{{ item }}"  # Номер порта
    proto: tcp  # Протокол TCP
    state: enabled  # Включает UFW
  loop: "{{ server_ufw_ports }}"  # Перебирает список портов
  notify:
    - Restart ufw service  # Перезапускает UFW
  tags:
    - ufw

- name: Config journald  # Настраивает systemd-journald
  ansible.builtin.lineinfile:
    path: /etc/systemd/journald.conf  # Файл конфигурации
    regexp: "^{{ item.key }}="  # Ищет строку с параметром
    line: "{{ item.key }}={{ item.value }}"  # Добавляет или заменяет параметр
    backup: true  # Создаёт резервную копию файла перед изменением
  loop: "{{ server_journald_params }}"  # Перебирает параметры конфигурации
  notify: Restart journald service  # Перезапускает journald после изменений
  tags:
    - journald

- name: Config SSH daemon  # Настраивает SSH-сервер
  ansible.builtin.lineinfile:
    path: /etc/ssh/sshd_config  # Файл конфигурации SSH
    regexp: "^{{ item.key }}"  # Ищет параметр по ключу
    line: "{{ item.key }} {{ item.value }}"  # Добавляет или изменяет параметр
    validate: "/usr/sbin/sshd -t -f %s"  # Проверяет конфигурацию перед сохранением
    backup: true  # Создаёт резервную копию файла
  loop: "{{ server_ssh_params }}"  # Перебирает параметры SSH
  notify:
    - Restart sshd service  # Перезапускает SSH после изменений
  tags:
    - sshd

---
### Конфигурация пользователя

- name: Create user with shell, groups and password  # Создаёт пользователя с оболочкой, группами и паролем
  ansible.builtin.user:
    name: "{{ user_name }}"  # Имя пользователя
    shell: "{{ user_shell }}"  # Оболочка пользователя (например, /bin/zsh)
    groups: "{{ user_groups }}"  # Список групп, в которые добавляется пользователь
    append: true  # Добавляет пользователя в группы, не заменяя текущие
    password: "{{ user_password }}"  # Устанавливает пароль
  when: ansible_distribution == 'Debian' or ansible_distribution == 'Ubuntu'  # Выполняется только для Debian/Ubuntu
  tags:
    - user  # Метка для удобного запуска

- name: Create ssh directory  # Создаёт каталог .ssh для пользователя
  ansible.builtin.file:
    path: "{{ user_home }}/.ssh/"  # Путь к каталогу
    state: directory  # Убеждается, что это директория
    owner: "{{ user_name }}"  # Назначает владельца
    group: "{{ user_name }}"  # Назначает группу
    mode: "0700"  # Устанавливает права доступа (только владелец)
  tags:
    - ssh

- name: Add user ssh public key  # Добавляет SSH-ключ пользователя
  ansible.builtin.lineinfile:
    path: "{{ user_home }}/.ssh/authorized_keys"  # Файл с авторизованными ключами
    line: "{{ user_ssh_pubkey }}"  # Публичный ключ SSH
    create: true  # Создаёт файл, если он отсутствует
    owner: "{{ user_name }}"  # Назначает владельца
    group: "{{ user_name }}"  # Назначает группу
    mode: "0600"  # Устанавливает права (чтение и запись только владельцу)
  tags:
    - ssh

- name: Install user pkgs  # Устанавливает пакеты для пользователя
  ansible.builtin.apt:
    name: "{{ user_pkgs }}"  # Список пакетов для установки
    state: present  # Убеждается, что пакеты установлены
    update_cache: true  # Обновляет кэш перед установкой
  when: ansible_distribution == 'Debian' or ansible_distribution == 'Ubuntu'  # Только для Debian/Ubuntu
  tags:
    - user_pkgs

- name: Create dots dir  # Создаёт каталоги для dot-файлов
  ansible.builtin.file:
    path: "{{ item }}"  # Путь к создаваемой директории
    state: directory  # Убеждается, что это директория
    owner: "{{ user_name }}"  # Назначает владельца
    group: "{{ user_name }}"  # Назначает группу
    recurse: true  # Рекурсивно создаёт вложенные каталоги
  loop:
    - "{{ user_home }}/.local/share/nvim/site/autoload/"  # Папка для nvim-плагинов
    - "{{ user_home }}/.config/nvim/"  # Папка для конфигурации Neovim
    - "{{ user_home }}/.config/tmux/"  # Папка для конфигурации tmux
  tags:
    - dots

- name: Download dot files  # Загружает dot-файлы из репозитория
  ansible.builtin.shell:
    cmd: "sudo -u {{ user_name }}
          curl -fsSL https://raw.githubusercontent.com/{{ item.key }}
          -o {{ user_home }}/{{ item.value }}"  # Скачивает файл и сохраняет в указанное место
  loop:
    - {key: "r4ven-me/dots/main/.zshrc", value: ".zshrc"}  # Конфигурация Zsh
    - {key: "junegunn/vim-plug/master/plug.vim", value: ".local/share/nvim/site/autoload/plug.vim"}  # Установщик плагинов Neovim
    - {key: "r4ven-me/dots/main/.config/nvim/init.vim", value: ".config/nvim/init.vim"}  # Основной конфиг Neovim
    - {key: "r4ven-me/dots/main/.config/nvim/plugins.vim", value: ".config/nvim/plugins.vim"}  # Список плагинов Neovim
    - {key: "r4ven-me/dots/main/.config/tmux/tmux.conf", value: ".config/tmux/tmux.conf"}  # Конфигурация tmux
  tags:
    - dots

- name: Apply config for dot files  # Применяет настройки dot-файлов
  ansible.builtin.shell: "sudo -u {{ user_name }} {{ item }}"
  loop:
    - "zsh -c 'source {{ user_home }}/.zshrc'"  # Загружает конфигурацию Zsh
    - "nvim -e -c 'PlugInstall' -c 'qall!'"  # Устанавливает плагины Neovim
    - "git clone https://github.com/tmux-plugins/tpm {{ user_home }}/.config/tmux/plugins/tpm"  # Загружает менеджер плагинов tmux
    - "{{ user_home }}/.config/tmux/plugins/tpm/bin/install_plugins"  # Устанавливает плагины tmux
  ignore_errors: true  # Игнорирует ошибки
  changed_when: true  # Помечает задачу как изменённую
  failed_when: false  # Не считает ошибку критической
  no_log: true  # Скрывает вывод (например, для паролей)
  tags:
    - dots

---
### Тестовые задачи

- name: Test playbook  # Тестовый playbook
  vars:
    ansible_become_password: "password"  # Пароль для sudo
    user_pkgs:  # Список пакетов для установки
      - "zsh"
      - "tmux"
      - "neovim"
  hosts: localhost  # Запуск на локальном хосте
  # remote_user: root  # (Закомментировано) Пользователь для удалённого подключения
  gather_facts: true  # Сбор фактов о системе
  become: true  # Выполнение с правами суперпользователя (sudo)
  force_handlers: true  # Принудительное выполнение обработчиков
  # roles:
  #   - role: ../server-base-config  # (Закомментировано) Подключение роли
  connection: local  # Использование локального соединения (без SSH)

  tasks:
    - name: Start debug  # Отладочный вывод переменных
      debug:
        msg:
          - "{{ ansible_distribution }}"  # Выводит дистрибутив системы
          - "{{ user_pkgs }}"  # Выводит список пакетов
      tags:
        - debug  # Метка для запуска отладки отдельно

---
### Тестовая инвентаризация

all:  # Глобальная группа хостов
  hosts:
    localhost:  # Определяет локальный хост
      ansible_host: localhost  # Использует локальный адрес
      # ansible_port: 22  # (Закомментировано) Порт SSH, по умолчанию 22
      # ansible_user: user  # (Закомментировано) Имя пользователя для подключения
      # ansible_ssh_private_key_file: ~/.ssh/id_ed25519  # (Закомментировано) Путь к приватному SSH-ключу

---
### Playbook для инициализации роли

- name: Basic server configuration  # Основная конфигурация сервера
  hosts: all  # Применение на всех хостах из инвентаря
  # remote_user: root  # (Закомментировано) Пользователь для удалённого подключения
  gather_facts: true  # Сбор фактов о системе
  become: true  # Выполнение с правами суперпользователя (sudo)
  force_handlers: true  # Принудительное выполнение обработчиков
  roles:
    - role: ../server-base-config  # Запуск роли

nvim ./roles/linux-base-config/vars/main.yml

mkpasswd --method=sha-512

# или

openssl passwd -6

# генерация нового ключа
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519

# вывод публичного ключа
cat ~/.ssh/id_ed25519.pub

ansible-playbook ./roles/linux-base-config/linux_base_config.yml \
    --limit debian12,ubuntu24 --check

ansible-playbook ./roles/linux-base-config/linux_base_config.yml \
    --limit debian12,ubuntu24 --check --tags sshd

ansible-playbook ./roles/linux-base-config/linux_base_config.yml --list-tags

ansible-playbook ./roles/linux-base-config/linux_base_config.yml \
    --limit debian12,ubuntu24

ansible-playbook ./roles/linux-base-config/linux_base_config.yml \
    --limit debian12,ubuntu24 -t dots -e 'user_name=root' -e 'user_home=/root'

# создаем директорию шрифта
sudo mkdir /usr/share/fonts/Hack

# скачиваем архив со шрифтами
curl -fsSLO \
    $(curl -s https://api.github.com/repos/ryanoasis/nerd-fonts/releases/latest \
    | grep browser_download_url \
    | grep 'Hack.zip' \
    | cut -d  '"' -f 4)

# распаковываем архив, коприруем шрифты в систем
sudo unzip ./Hack.zip -d /usr/share/fonts/Hack/ && rm -f ./Hack.zip