Arquivos Debian 13 - Remontti https://blog.remontti.com.br/tag/debian-13 rudimar@remontti Tue, 14 Jul 2026 20:45:49 +0000 pt-BR hourly 1 https://wordpress.org/?v=7.0.2 https://blog.remontti.com.br/wp-content/uploads/2024/09/icone-rr-80x80.png Arquivos Debian 13 - Remontti https://blog.remontti.com.br/tag/debian-13 32 32 Servidor DNS #1 – Recursivo com BIND 9.20 no Debian 13 (Trixie) https://blog.remontti.com.br/8358 https://blog.remontti.com.br/8358#respond Tue, 14 Jul 2026 20:45:49 +0000 https://blog.remontti.com.br/?p=8358 BIND é o servidor DNS mais utilizado na Internet e um padrão de fato em sistemas Unix/Linux. O DNS Recursivo é responsável pela resolução de nomes: recebe a consulta do cliente e percorre a...

O post Servidor DNS #1 – Recursivo com BIND 9.20 no Debian 13 (Trixie) apareceu primeiro em Remontti.

]]>

BIND é o servidor DNS mais utilizado na Internet e um padrão de fato em sistemas Unix/Linux.

O DNS Recursivo é responsável pela resolução de nomes: recebe a consulta do cliente e percorre a hierarquia do DNS — servidores raiz → TLD (.br, .com) → autoritativo do domínio — até obter a resposta. O resultado fica armazenado em cache pelo tempo (TTL) definido pelo autoritativo do domínio consultado, o que reduz a latência das próximas consultas e o tráfego DNS saindo da sua rede.

Para um ISP, rodar recursivo próprio significa menor latência (o servidor está dentro do seu AS, próximo do cliente), controle total do serviço e independência de resolvers públicos como 8.8.8.8 e 1.1.1.1.

Atenção: este tutorial cobre apenas o Recursivo.
– DNS Autoritativo e Reverso estão na parte 2 ⏳(em breve)
– DNS anycast com FRR (alta disponibilidade) na parte 3 ⏳(em breve).

Usaremos o Debian 13 (Trixie) com BIND 9.20 — houve mudanças relevantes em relação aos tutoriais antigos com Debian 11/12.

Requisitos:
Debian 13 Trixie – Instalação Limpa

Leituras recomendadas:
Configurando interface de rede no Debian
Como melhorar a produtividade no seu Debian após instalação

Vire root com o comando correto!
$ su -
Pacotes recomendados:
# apt install vim wget unzip man-db htop tree mtr-tiny whois -y

Configurando a placa de Rede

Neste tutorial vou configurar a rede da forma simples e convencional (IP fixo na interface). Na parte 3 aprenderemos a configurar via roteamento (FRR), que é o cenário ideal para DNS anycast. Se quiser se aprofundar, veja também: Configurando interface de rede no Debian. Caso já tenha sua placa de rede configurada pule esta etapa.

Primeiro descubra o nome da sua interface:

# ip -br link

No meu caso o nome é ens18, o seu pode ser diferente (ens192, enp0s3, eno1, enp1s0…). Ajuste nos exemplos abaixo.

Edite o arquivo:

# vim /etc/network/interfaces

Seu arquivo deverá ficar assim (as linhas “source” e da interface de loopback “lo” já existem no arquivo, não duplique, apenas ajuste/adicione o bloco da sua interface):

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback

auto ens18
iface ens18 inet static
    address 255.9.0.2/28
    gateway 255.9.0.1

iface ens18 inet6 static
    address 2559:ffff:cafe::2/64
    gateway 2559:ffff:cafe::1

Obs: substitua os IPs pelos endereços do seu bloco. Estou usando 255.9.0.2/28 e 2559:ffff:cafe::2/64 apenas como exemplo.

Obs 2: em servidor use “auto” em vez de “allow-hotplug”. O allow-hotplug só levanta a interface por evento de hotplug e pode deixar seu servidor sem rede no boot em algumas situações; o auto garante que a interface suba junto com o sistema.

Aplique a configuração:

# systemctl restart networking

ATENÇÃO: se você está acessando o servidor via SSH e errar algo aqui, vai perder o acesso. Se possível faça essa etapa pelo console (físico ou da VM).
Mas recomendo que você reinicie o servidor.

# reboot

Acesse novamente o servidor pelo endereço de IP.
Valide se os IPs subiram e se há conectividade:

# ip -br address
# ip -c address
# ping -c3 8.8.8.8
# ping -c3 2001:4860:4860::8888

Instalação do Bind9

Instalação dos pacotes:

# apt install bind9 bind9-utils bind9-dnsutils

Obs: no Debian 13 o serviço agora se chama “named” (o nome “bind9” ainda funciona como atalho, mas nos comandos vou usar named que é o nome oficial).

Arquitetura de arquivos e diretórios do bind9 no Debian 13:

Estrutura de arquivos do BIND

Os principais arquivos do BIND ficam distribuídos nos seguintes diretórios:

/etc/bind/

Diretório principal de configuração do BIND.

  • named.conf: arquivo principal, responsável por incluir os demais arquivos de configuração.
  • named.conf.local: usado para declarar zonas locais, autoritativas ou configurações específicas do servidor.
  • named.conf.options: contém opções globais, como recursão, encaminhadores, interfaces e controles de acesso.
  • named.conf.root-hints: referência aos servidores raiz do DNS.
  • rndc.key: chave utilizada para comunicação segura entre o comando rndc e o serviço named.

/usr/share/dns/

Contém arquivos de referência relacionados à raiz do DNS.

  • root.hints: lista dos servidores raiz do DNS.
  • root.key: chave de confiança utilizada na validação DNSSEC.
  • root.ds: registro DS da zona raiz utilizado como referência para DNSSEC.

/var/cache/bind/

Diretório de trabalho do BIND.
Nele ficam arquivos gerados ou atualizados pelo próprio serviço, como zonas dinâmicas, journals e chaves gerenciadas pelo DNSSEC.

  • managed-keys.bind: armazena chaves DNSSEC gerenciadas automaticamente pelo BIND.
  • managed-keys.bind.jnl: arquivo de journal utilizado para registrar alterações dessas chaves.

/run/named/

Contém arquivos temporários criados enquanto o serviço está em execução.

  • named.pid: armazena o PID do processo named.
  • session.key: chave temporária utilizada em operações de atualização dinâmica local.

Configuração do Recursivo

Alteramos o DNS do servidor fazendo com que ele consulte em si próprio, através dos IPs de loopback. Essa alteração deve ser feita no arquivo /etc/resolv.conf.

# echo "nameserver 127.0.0.1" > /etc/resolv.conf
# echo "nameserver ::1" >> /etc/resolv.conf

Neste ponto, o servidor já deve estar resolvendo nomes localmente. Agora utilize a ferramenta dig para realizar alguns testes:

# dig @localhost google.com.br A
# dig @localhost google.com.br AAAA
# dig @localhost google.com.br A +trace

Agora vamos ajustar o BIND para funcionar como servidor DNS recursivo, permitindo consultas somente das redes autorizadas.

# vim /etc/bind/named.conf.options
acl autorizados {
        127.0.0.1;
        ::1;
        10.0.0.0/8;
        172.16.0.0/12;
        192.168.0.0/16;
        100.64.0.0/10;
        fc00::/7;
        fe80::/10;

        // Prefixos da sua rede
        255.9.0.0/22;
        2559:ffff::/32;
};

options {
        directory "/var/cache/bind";

        dnssec-validation auto;

        listen-on { any; };
        listen-on-v6 { any; };

        minimal-responses yes;

        max-ncache-ttl 300;
        min-cache-ttl 90;

        allow-recursion { autorizados; };
        allow-query-cache { autorizados; };
        allow-query { autorizados; };

        version "RR DNS Server - Do good";
};

Atenção: substitua 255.9.0.0/22 e 2559:ffff::/32 pelos prefixos IPv4 e IPv6 da sua rede.

Entendendo as opções

acl autorizados
Lista os endereços que podem utilizar o servidor recursivo. Inclui localhost, redes privadas, CGNAT, IPv6 interno e os prefixos da sua rede. Clientes fora dessa lista recebem REFUSED.

directory “/var/cache/bind”;
Define o diretório de trabalho do BIND.

dnssec-validation auto;
Ativa a validação DNSSEC para verificar a autenticidade das respostas.

listen-on / listen-on-v6
Define em quais endereços IPv4 e IPv6 o BIND escutará. O valor any significa todos os endereços do servidor.

minimal-responses yes;
Reduz o tamanho das respostas, enviando somente as informações necessárias.

max-ncache-ttl 300;
Mantém respostas negativas, como NXDOMAIN, no cache por no máximo 5 minutos.

min-cache-ttl 90;
Mantém respostas positivas no cache por pelo menos 90 segundos, mesmo quando o domínio informa um TTL menor.

allow-recursion
Define quem pode realizar consultas recursivas.

allow-query-cache
Define quem pode receber respostas armazenadas no cache.

allow-query
Define quem pode consultar o servidor. Como este servidor é somente recursivo, restringimos o acesso à ACL.

version “RR DNS Server – Do good”;
Oculta a versão real do BIND em consultas simples. Não substitui atualizações e boas práticas de segurança.

Opções adicionais

max-cache-ttl
Define o tempo máximo das respostas positivas no cache. O padrão é 7 dias.

max-cache-ttl 86400;
O exemplo acima limita o cache a 24 horas.

max-cache-size
Define quanto de memória o cache pode utilizar.

max-cache-size 2G;
Limita a 2 GB a memória RAM que o BIND pode usar para armazenar respostas DNS em cache.

Validando a configuração

# named-checkconf

Se nenhum erro for exibido:

# systemctl restart named
# systemctl status named --no-pager

Refaça os testes para ver se ainda está resolvendo nomes:

# dig @localhost google.com A

Algumas coisas que você precisa saber, da saída dig:

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> @localhost google.com A
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42819
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 9afef403caa37261010000006a5680455e2f7c3f211ca5b7 (good)
;; QUESTION SECTION:
;google.com.			IN	A

;; ANSWER SECTION:
google.com.		31	IN	A	172.217.29.206

;; Query time: 0 msec
;; SERVER: ::1#53(localhost) (UDP)
;; WHEN: Tue Jul 14 15:30:29 -03 2026
;; MSG SIZE  rcvd: 83

HEADER: Ela contém diversas informações a respeito da consulta. 

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 49083
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 9

- status indica o tratamento de erro nas consultas, sendo eles:
-- NOERROR: Nenhum erro encontrado, ou seja, sucesso.
-- SERVFAIL: Houve algum problema com o servidor, que não conseguiu processar a query.
-- NXDOMAIN: Significa que o domínio pesquisado não existe.
-- REFUSED: O servidor rejeitou a solicitação.
-flags: indicador das opções de recursividade e de autoridade, em resumo este conjunto de “letrinhas” (aa, rd, ra, etc), indica o estado ligado/desligado RFC1035
-- qr: se a mensagem é uma query (0) ou uma resposta (1). Como estamos avaliando somente as respostas, este bit sempre estará ligado (consequentemente, sempre veremos a string “qr” no campo “flags“).
-- aa: que o servidor que respondeu à solicitação é autoritativo do domínio.
-- rd: indica que o cliente solicitou recursão ao servidor DNS.
-- ra: que o servidor que respondeu à requisição suporta consultas recursivas.
-- tc: que a mensagem de resposta está truncada.
-- z: reservado para uso futuro.
- contadores: na mesma linha das flags, encontramos quantos registros foram retornados em cada seção.

QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 9

QUESTION
Replica a query que foi enviada para consulta, quando o tipo não é informado, o dig utiliza o registro A por padrão.

;; QUESTION SECTION:
;google.com.br.                 IN      A

Outros exemplos:

# dig @localhost google.com.br AAAA
# dig @localhost google.com.br MX
# dig @localhost google.com.br NS
# dig @localhost google.com.br TXT
# dig @localhost google.com.br ANY

ANSWER
Contém a resposta para a consulta que foi enviada.

;; ANSWER SECTION:
google.com.br.          86400   IN      CAA     0 issue "pki.goog"
google.com.br.          60      IN      SOA     ns1.google.com. dns-admin.google.com. 405356128 900 900 1800 60
google.com.br.          300     IN      AAAA    2800:3f0:4001:819::2003
google.com.br.          300     IN      A       172.217.173.67
google.com.br.          300     IN      MX      0 smtp.google.com.
google.com.br.          300     IN      TXT     "v=spf1 -all"
google.com.br.          2774    IN      NS      ns4.google.com.
google.com.br.          2774    IN      NS      ns2.google.com.
google.com.br.          2774    IN      NS      ns1.google.com.
google.com.br.          2774    IN      NS      ns3.google.com.

AUTHORITY
Servidores que respondem com “autoridade” pelo domínio (os NS)

;; AUTHORITY SECTION:
google.com.br.          3599    IN      NS      ns1.google.com.
google.com.br.          3599    IN      NS      ns4.google.com.
google.com.br.          3599    IN      NS      ns3.google.com.
google.com.br.          3599    IN      NS      ns2.google.com.

ADDITIONAL
Informações auxiliares ou adicionais à pesquisa, no exemplo IPs dos servidores DNS

;; ADDITIONAL SECTION:
ns1.google.com.         172800  IN      AAAA    2001:4860:4802:32::a
ns2.google.com.         172800  IN      AAAA    2001:4860:4802:34::a
ns3.google.com.         172800  IN      AAAA    2001:4860:4802:36::a
ns4.google.com.         172800  IN      AAAA    2001:4860:4802:38::a
ns1.google.com.         172800  IN      A       216.239.32.10
ns2.google.com.         172800  IN      A       216.239.34.10
ns3.google.com.         172800  IN      A       216.239.36.10
ns4.google.com.         172800  IN      A       216.239.38.10

Na última parte da saída encontramos mais quatro informações:

;; Query time: 10 msec
;; SERVER: ::1#53(localhost) (UDP)
;; WHEN: Tue Jul 14 15:30:29 -03 2026
;; MSG SIZE  rcvd: 83

- QUERY TIME: informa quanto tempo a consulta levou. Um resultado de 0 ms significa que ela foi concluída em menos de 1 ms, geralmente por ter sido respondida localmente ou pelo cache.
- SERVER: Qual servidor ele realizou a consulta
- WHEN: data e hora em que a consulta foi realizada. O horário exibido é o do próprio servidor, e o valor -03 indica o fuso horário (UTC-3, horário de Brasília).
- MSG SIZE: tamanho do pacote

Leitura recomendada: https://bind9.readthedocs.io/en/stable/reference.html

Comandos do dia a dia

Para verificar se seu arquivo tem algum erro use o comando named-checkconf (se não retornar nada, está tudo certo):

# named-checkconf /etc/bind/named.conf
# named-checkconf /etc/bind/named.conf.options

Imprime todas as configurações (bem útil para mandar suas conf quando estiver com algum problema lá no grupo do Telegram):

# named-checkconf -p

Reinicie o serviço para que as novas configurações sejam carregadas, e verifique se o mesmo subiu sem erros:

# systemctl restart named
# systemctl status named
Atualização dos Root Servers

Não é comum servidores raiz terem alteração, mas pode acontecer, como em 2023. Então caso um dia precise atualizá-los, faça isso:

# mv /usr/share/dns/root.hints /usr/share/dns/root.hints.`date +%Y%m%d`
# wget https://www.internic.net/domain/named.root -O /usr/share/dns/root.hints

Para visualizar a diferença entre os arquivos:

# diff /usr/share/dns/root.hints.`date +%Y%m%d` /usr/share/dns/root.hints
Desativar IPv6 do bind 🤬

Se por algum motivo precisar desabilitar, faça:

# vim /etc/default/named

Altere OPTIONS="-u bind" para:

OPTIONS="-4 -u bind"
# vim /etc/bind/named.conf.options

Altere listen-on-v6 { any; }; para:

listen-on-v6 { none; };

Reinicie o serviço:

# systemctl restart named
Configurando encaminhadores DNS (forwarders)

Em alguns casos você pode estar com problema em relação aos servidores raiz, e então querer configurar forwarders.
Com essa configuração, o BIND não consulta diretamente os servidores raiz: ele encaminha todas as consultas para os servidores DNS definidos em forwarders e mantém as respostas no cache local.

# vim /etc/bind/named.conf.options

Adicione dentro do bloco options { ... };:

...
recursion yes;
forward only;
forwarders {
        // Cloudflare
        1.1.1.1;
        1.0.0.1;
        2606:4700:4700::1111;
        2606:4700:4700::1001;

        // Google
        8.8.8.8;
        8.8.4.4;
        2001:4860:4860::8888;
        2001:4860:4860::8844;
};
...

recursion yes; habilita a resolução recursiva, permitindo que o BIND busque a resposta completa em nome do cliente.
forward only, caso todos os encaminhadores falhem, o BIND não tentará resolver a consulta diretamente pelos servidores raiz.

Protegendo o servidor

Seu DNS recursivo já está configurado. Como este servidor será utilizado apenas para esse serviço, vamos aplicar regras no nftables para restringir o acesso às portas expostas, principalmente à porta 53.

# vim /etc/nftables.conf

Na seção elements, substitua os endereços de exemplo pelos IPs e prefixos que terão permissão de acesso. O modelo também inclui regras de proteção para o SSH e para o agente do Zabbix.

#!/usr/sbin/nft -f

flush ruleset

# Portas acessíveis somente pelas redes do NOC 22 SSH / 10050 Zabbix
define PORTAS_RESTRITAS_TCP = { 22, 10050 }

# Porta do serviço DNS
define PORTA_DNS = 53

table inet filter {

    # Redes do NOC: acesso administrativo, ping e DNS
    set REDE_NOC4 {
        type ipv4_addr;
        flags interval;
        elements = { 192.168.0.0/24, 255.9.0.0/26 };
    }

    set REDE_NOC6 {
        type ipv6_addr;
        flags interval;
        elements = { 2559:ffff:f0da::/48 };
    }

    # Redes autorizadas a utilizar o DNS
    set REDE_CLIENTES4 {
        type ipv4_addr;
        flags interval;
        elements = {
            10.0.0.0/8,
            172.16.0.0/12,
            192.168.0.0/16,
            100.64.0.0/10,
            255.9.0.0/22
        };
    }

    set REDE_CLIENTES6 {
        type ipv6_addr;
        flags interval;
        elements = {
            fc00::/7,
            fe80::/10,
            2559:ffff::/32
        };
    }

    chain input {
        type filter hook input priority 0;
        policy drop;

        # Descarta pacotes inválidos
        ct state invalid counter drop

        # Permite conexões já estabelecidas ou relacionadas
        ct state established,related counter accept

        # Permite a comunicação interna do próprio servidor
        iifname "lo" counter accept

        # ICMPv4 necessário para erros e PMTU
        meta l4proto icmp icmp type {
            destination-unreachable,
            time-exceeded,
            parameter-problem
        } counter accept

        # Ping IPv4 somente pelas redes do NOC e CLIENTES
        ip saddr @REDE_NOC4 meta l4proto icmp icmp type echo-request counter accept
        ip saddr @REDE_CLIENTES4 meta l4proto icmp icmp type echo-request counter accept

        # ICMPv6 essencial para NDP, RA, PMTU e erros IPv6
        meta l4proto ipv6-icmp icmpv6 type {
            destination-unreachable,
            packet-too-big,
            time-exceeded,
            parameter-problem,
            echo-reply,
            nd-router-solicit,
            nd-router-advert,
            nd-neighbor-solicit,
            nd-neighbor-advert
        } counter accept

        # Ping IPv6 somente pelas redes do NOC e CLIENTES
        ip6 saddr @REDE_NOC6 meta l4proto ipv6-icmp icmpv6 type echo-request counter accept
        ip6 saddr @REDE_CLIENTES6 meta l4proto ipv6-icmp icmpv6 type echo-request counter accept

        # SSH e Zabbix Agent somente pelas redes do NOC
        ip saddr @REDE_NOC4 tcp dport $PORTAS_RESTRITAS_TCP counter accept
        ip6 saddr @REDE_NOC6 tcp dport $PORTAS_RESTRITAS_TCP counter accept

        # DNS TCP e UDP somente para as redes autorizadas
        ip saddr @REDE_CLIENTES4 meta l4proto { tcp, udp } th dport $PORTA_DNS counter accept
        ip6 saddr @REDE_CLIENTES6 meta l4proto { tcp, udp } th dport $PORTA_DNS counter accept
    }

    chain forward {
        type filter hook forward priority 0;
        policy drop;
    }

    chain output {
        type filter hook output priority 0;
        policy accept;
    }
}

Teste: 

# nft -c -f /etc/nftables.conf

Se nenhum erro for exibido, reinicie o serviço para aplicar as regras.

Ative o nftables para iniciar automaticamente junto com o sistema e reinicie o serviço para aplicar as regras:

# systemctl enable nftables
# systemctl restart nftables

Atenção: antes de reiniciar o firewall, tenha acesso ao console do servidor. Se perder o acesso, alguma regra foi configurada incorretamente.

Para verificar se as regras foram carregadas corretamente, execute:

# nft list ruleset

O post Servidor DNS #1 – Recursivo com BIND 9.20 no Debian 13 (Trixie) apareceu primeiro em Remontti.

]]> https://blog.remontti.com.br/8358/feed 0 Instalação do Debian 13 Trixie limpa passo-a-passo (netinst) https://blog.remontti.com.br/8267 https://blog.remontti.com.br/8267#comments Wed, 13 Aug 2025 16:58:10 +0000 https://blog.remontti.com.br/?p=8267 Neste tutorial vamos aprender de forma simples fazer a instalação da distribuição Linux Debian 13 Trixie, utilizando a ISO netinst, que durante a instalação já faz a instalação dos pacotes mais recentes usando a...

O post Instalação do Debian 13 Trixie limpa passo-a-passo (netinst) apareceu primeiro em Remontti.

]]>

Neste tutorial vamos aprender de forma simples fazer a instalação da distribuição Linux Debian 13 Trixie, utilizando a ISO netinst, que durante a instalação já faz a instalação dos pacotes mais recentes usando a internet, então é lógico que vamos precisar uma conexão com a internet durante a instalação.

Outro motivo para utilizar a versão netinst é que não irei instalar nenhum pacote extra, pois a ideia aqui é fazer uma instalação limpa sem perfumarias. “Se precisar algo depois eu instalo.”

Algumas novidades

– Kernel 6.12 LTS
– Proteções ROP/COP/JOP em amd64 e arm64
– /tmp em tmpfs, com limpeza automatizada
– Suporte HTTP Boot, Apple ARM, Secure Boot
– APT 3.0
– E muito mais…

Download

– Debian 13 Trixie (amd64)

Instalação

Iniciando o boot da sua ISO.

Selecione: Graphical Install

Portuguese (Brazil) – Portugues do Brasil

Brasil

Português Brasileiro

Neste momento ele irá identificar sua conexão de rede, e tentar receber seus IP automaticamente via DHCP, No entanto se sua rede não estiver configurada para entregar IP automaticamente, ira apresentar uma mensagem dizendo que a configuração falhou.

E em caso de DHCP entregando você vai cair na tela para informar o Hostname, caso você queira ignorar o DHCP que recebeu e selecionar voltar e em seguida configurar rede manualmente.

Informe IP/PREFIX

Gateway

Servidores DNS (Separa por espaço para mais de um, máximo 3)

E agora iremos cair na tela de “hostname”

Informe seu domínio se possuir, ou deixe em branco (Se você tiver o DNS reverso configurado ele já trará seu domínio)

Defina Senha de root (administrador)

Informe seu Nome completo

Defina um nome de usuário

Defina a senha deste usuário

Selecione seu estado para a escolha do fuso horário

Chegamos ao particionamento. Aqui vamos ter várias polemicas! Para mim é interessante particionar quando você sabe realmente o que está fazendo, exemplo possuir mais de um disco, ou porejetar que uma partição não destrua o sistema.
Em VMs sempre instalo da forma automática, não tem o porque está particionando uma máquina virtual (a não ser mais uma vez que você saiba o que quer), ou até mesmo estar fazendo algum tipo de RAID via software (Sou fã do RAID 10 espelhamento e performance, mas quase sempre faremos isso lá na controladora, mas nada impede de fazer via software se seu servidor não possui uma controladora). Bom poderia falar um tempão aqui, mas em 90% o método “automático” resolve nossos problemas, então bora!

Selecione Assistido – usar o disco inteiro

Selecione o Disco

Selecione “Todos os arquivos em uma partição (para iniciantes)”, se você selecionar alguma das outras opções é muito importante que você realmente saiba oq está fazendo!

Finalizar o particionamento e escrever as mudanças no disco

Sim

Aguarde instalar o sistema básico…

Não

Brasil

Eu gosto do deb.debian.org (mas pode selecionar outro se desejar)

Deixe em branco. Acredito que ninguém mais use proxy, mas se for seu caso informe seu usuário e senha da conexão HTTP.

Aguarde enquanto os espelhos (repositórios são lidos) é fundamental ter internet; sem ela a instalação prossegue incompleta.

Sim. É sempre importante ajudar a comunidade a saber quais pacotes estão sendo instalado, isso vai ajudar os desenvolvedores a serem vistos pela comunidade Debian e quem sabe aquele pacote legal que você precisa compilar na próxima versão já esteja disponível via repositório.

ESSA É A PARTE MAIS IMPORTANTE PARA A INSTALAÇÃO LIMPA.
Pois não vamos instalar nenhum pacote, e sim apenas o sistema base. O único pacote que é bem provável que você irá precisar é do SSH para fazer o acesso a sua máquina.
Essa instalação é recomendada para servidores! Agora se você está fazendo essa instalação com intuito de usar alguma interface gráfica faça sua escolha e prossiga.

Grub: Sim Se não fica sem dar boot.

Seleciona o disco qual sera configurado o GRUB (Sem ele o sistema não inicia! Normalmente /dev/sda)

Aguarde a finalização

Continuar para reiniciar

Iremos ver nossa tela do GRUB (Aqui você pode selecionar um kernel anteiro instalado caso o atual apresentar algum problema…, entre recuperar até mesmo a senha de root)

E por fim chegamos a tela de login. Nesta tela você pode logar com usuário root diretamente.

Faça um SSH para o IP do seu servidor, se você não sabe qual o IP basta na tela anterior logar e digitar o comando: 

ip -c address

No meu caso meu ip é o 172.18.18.18, irei logar com o usuário remontti (que criei na instalação) e não com root, por padrão de segurança o SSH vem com a opção que não permite que você logue com usuário root, então use o usuário “comum” da sua instalação para logar. OBS: Não seja ignorante de ir trocar as configurações do SSH e permitir o root logar (Isso me deixa P, tem várias formas de você contornar!)
Então do meu PC acesso e em seguida viro root com su- exemplo:

 ssh -p 22 192.168.87.80

Se desejar configurar o repositório non-free e contrib, para isso basta editar o arquivo /etc/apt/sources.list (Recomendo)

# nano /etc/apt/sources.list

Agora adicione ao final de cada repositório> contrib non-free como na imagem:

Saia usando CRTL + X, em seguida atualize as informações do repositório com o comando:

# apt update

Para atualizar (se disponível) os pacotes use:

# apt upgrade

Ao usar o repositório non-free sempre recomendo a instalação dos pacotes: firmware-linux* para reconhecer o máximo dos drivers. 

# apt install firmware-linux firmware-linux-free firmware-linux-nonfree

Aqui já vimos uma cara nova do APT

Reinicie seu servidor para carregar os novos módulos do kernel

# reboot

Agora que acabou de instalar seu debian que tal dar uma “tunada” no bichinho? Então leia: Como melhorar a produtividade no seu Debian após instalação

Para ver se seu Debian inicializou sem nenhum erro utilize o comando:

# journalctl -b -p err

Muitos logs foram movidos para o o journal no Debian desde a versão 12.

Leitura recomendada: Como melhorar a produtividade no seu Debian após instalação

Script para dar aquela tunada no bash!

apt -y install wget; wget remontti.com.br/debian; bash debian; su -

Dica bônus para ter a hora certa!

Instala o cliente NTP leve do systemd

# apt install -y systemd-timesyncd
# systemctl enable systemd-timesyncd
# timedatectl set-ntp true

Cria configuração do timesyncd com comentários explicativos

# vim /etc/systemd/timesyncd.conf

Deixe assim:

# /etc/systemd/timesyncd.conf
# Configuração do cliente NTP embutido no systemd

[Time]
# Servidor NTP preferencial (Brasil)
NTP=pool.ntp.br
# Servidores de fallback (usados se o principal falhar)
FallbackNTP=a.st1.ntp.br b.st1.ntp.br

# ================= AJUSTES OPCIONAIS =================
# RootDistanceMaxSec=5
#   Máxima incerteza (latência/rede) aceitável em segundos.
#   Se o servidor for considerado "longe" demais, é ignorado.

# PollIntervalMinSec=32
#   Intervalo mínimo entre consultas NTP (segundos).
#   Evita flood em servidores. Padrão: 32s.

# PollIntervalMaxSec=2048
#   Intervalo máximo entre consultas NTP (segundos).
#   Em redes estáveis, o cliente espaça mais as consultas.
#   Padrão: 2048s (~34 minutos).

# ConnectionRetrySec=30
#   Tempo de espera para tentar reconectar a um servidor NTP falho.
#   Padrão: 30s.

# SaveIntervalSec=60
#   Intervalo em segundos para salvar no disco a última hora conhecida.
#   Evita saltos grandes de horário após reboot.
#   Padrão: 60s.

Reinicia o serviço para aplicar a configuração

# systemctl restart systemd-timesyncd

Valida

# timedatectl status
               Local time: sex 2025-08-22 10:19:15 -03
           Universal time: sex 2025-08-22 13:19:15 UTC
                 RTC time: sex 2025-08-22 13:19:15
                Time zone: America/Sao_Paulo (-03, -0300) 
System clock synchronized: yes    👈
              NTP service: active 👈
          RTC in local TZ: no

Acesse https://ntp.br/ e verifique se a hora esta exata.

date

Curtiu o conteúdo? Quer me ajudar manter o blog? 🙂

Se quiser fazer uma doação para o café ficarei muito feliz pelo seu reconhecimento!

Participe do canal no telegram para ficar atualizado sempre que publicar um novo tutorial.

Se não puder doar pode deixar seu agradecimento nos comentário também ficarei feliz em saber que ajudei. Se tiver qualquer pergunta deixe-a também. Se preferir entrar em Contato clique aqui.

Abraço!

O post Instalação do Debian 13 Trixie limpa passo-a-passo (netinst) apareceu primeiro em Remontti.

]]> https://blog.remontti.com.br/8267/feed 9