Der perfekte Server CentOS 7.3 mit Apache, Postfix, Dovecot, Pure-FTPD, BIND und ISPConfig 3.1 - Seite 2

yum -y install dovecot dovecot-mysql dovecot-pigeonhole

touch /etc/dovecot/dovecot-sql.conf  
ln -s /etc/dovecot/dovecot-sql.conf /etc/dovecot-sql.conf  
ln -s /etc/dovecot/dovecot.conf /etc/dovecot.conf

systemctl enable dovecot  
systemctl start dovecot

yum -y install postfix

systemctl enable mariadb.service  
systemctl start mariadb.service

systemctl stop sendmail.service  
systemctl disable sendmail.service  
systemctl enable postfix.service  
systemctl restart postfix.service

yum -y install getmail

mysql_secure_installation

[root@server1 tmp]# mysql_secure_installation  
  
  
HINWEIS: DAS AUSFÜHREN ALLER TEILE DIESER SCRIPTES WIRD FÜR ALLE MariaDB  
SERVER IM PRODUKTIVEINSATZ EMPFOHLEN! BITTE LESEN SIE JEDEN SCHRITT SORGFÄLTIG!

Um sich bei MariaDB anzumelden, um es abzusichern, benötigen wir das aktuelle  
Passwort für den Root-Benutzer. Wenn Sie MariaDB gerade installiert haben und  
Sie das Root-Passwort noch nicht festgelegt haben, wird das Passwort leer sein,  
also sollten Sie hier einfach die Eingabetaste drücken.

Geben Sie das aktuelle Passwort für root ein (Eingabetaste für keines):  
OK, Passwort erfolgreich verwendet, weiter...

Das Festlegen des Root-Passworts stellt sicher, dass niemand sich ohne die  
richtige Autorisierung beim MariaDB-Root-Benutzer anmelden kann.  
  
Root-Passwort festlegen? [Y/n] <-- EINGABETASTE  
Neues Passwort: <-- IhrRootSQLPasswort  
Neues Passwort erneut eingeben: <-- IhrRootSQLPasswort  
Passwort erfolgreich aktualisiert!  
Privilegientabellen werden neu geladen..  
 ... Erfolg!  
  
  
Standardmäßig hat eine MariaDB-Installation einen anonymen Benutzer, der es jedem  
ermöglicht, sich bei MariaDB anzumelden, ohne dass ein Benutzerkonto für  
ihn erstellt werden muss. Dies ist nur für Tests gedacht und soll die  
Installation etwas reibungsloser gestalten. Sie sollten sie entfernen, bevor Sie  
in eine Produktionsumgebung wechseln.  
  
Anonyme Benutzer entfernen? [Y/n] <-- EINGABETASTE  
 ... Erfolg!  
  
Normalerweise sollte root nur von 'localhost' aus verbunden werden dürfen.  
Dies stellt sicher, dass jemand das Root-Passwort nicht über das Netzwerk erraten kann.  
  
Root-Login aus der Ferne verbieten? [Y/n] <-- EINGABETASTE  
 ... Erfolg!  
  
Standardmäßig kommt MariaDB mit einer Datenbank namens 'test', auf die jeder  
Zugriff hat. Dies ist ebenfalls nur für Tests gedacht und sollte entfernt  
werden, bevor Sie in eine Produktionsumgebung wechseln.  
  
Testdatenbank und Zugriff darauf entfernen? [Y/n] <-- EINGABETASTE  
 - Testdatenbank wird gelöscht...  
 ... Erfolg!  
 - Berechtigungen auf Testdatenbank werden entfernt...  
 ... Erfolg!  
  
Das Neuladen der Berechtigungstabellen stellt sicher, dass alle bisher  
getätigten Änderungen sofort wirksam werden.  
  
Berechtigungstabellen jetzt neu laden? [Y/n] <-- EINGABETASTE  
 ... Erfolg!  
  
Aufräumen...  
  
  
Alles erledigt! Wenn Sie alle oben genannten Schritte abgeschlossen haben, sollte  
Ihre MariaDB-Installation jetzt sicher sein.  
  
Danke, dass Sie MariaDB verwenden!  
  
[root@server1 tmp]#

nano /etc/httpd/conf.d/phpMyAdmin.conf

# phpMyAdmin - Webbasierter MySQL-Browser, geschrieben in php
#
# Erlaubt standardmäßig nur localhost
#
# Aber phpMyAdmin für jeden anderen als localhost zu erlauben, sollte als
# gefährlich angesehen werden, es sei denn, es ist ordnungsgemäß durch SSL gesichert

Alias /phpMyAdmin /usr/share/phpMyAdmin
Alias /phpmyadmin /usr/share/phpMyAdmin


   
     # Apache 2.4
     
     #  Require ip 127.0.0.1
     #  Require ip ::1  
        Require all granted
     
   
   
     # Apache 2.2
     Order Deny,Allow
     Deny from All
     Allow from 127.0.0.1
     Allow from ::1
   

            

nano /etc/phpMyAdmin/config.inc.php

[...]
/* Authentifizierungstyp */
$cfg['Servers'][$i]['auth_type'] = 'http';
[...]

systemctl enable  httpd.service  
systemctl restart  httpd.service

yum -y install amavisd-new spamassassin clamav-server clamav-data clamav-update clamav-filesystem clamav clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd unzip bzip2 perl-DBD-mysql postgrey re2c

nano /etc/freshclam.conf

[....]  
# Beispiel  
[....]

nano /etc/sysconfig/freshclam

# FRESHCLAM_DELAY=disabled-warn # REMOVE ME

sa-update  
freshclam  
systemctl enable amavisd.service  
systemctl start amavisd.service  
systemctl start [email protected]  
systemctl enable postgrey.service  
systemctl start postgrey.service

yum -y install php php-devel php-gd php-imap php-ldap php-mysql php-odbc php-pear php-xml php-xmlrpc php-pecl-apc php-mbstring php-mcrypt php-mssql php-snmp php-soap php-tidy curl curl-devel perl-libwww-perl ImageMagick libxml2 libxml2-devel mod_fcgid php-cli httpd-devel php-fpm wget

nano /etc/php.ini

[...]
;error_reporting = E_ALL & ~E_DEPRECATED
error_reporting = E_ALL & ~E_NOTICE & ~E_DEPRECATED & ~E_STRICT
[...]
; cgi.fix_pathinfo bietet *echte* PATH_INFO/PATH_TRANSLATED-Unterstützung für CGI. PHP's
; vorheriges Verhalten war es, PATH_TRANSLATED auf SCRIPT_FILENAME zu setzen und nicht zu verstehen,
; was PATH_INFO ist. Für weitere Informationen zu PATH_INFO siehe die CGI-Spezifikationen. Das Setzen
; dies auf 1 bewirkt, dass PHP CGI seine Pfade gemäß der Spezifikation korrigiert. Eine Einstellung
; von null bewirkt, dass PHP sich wie zuvor verhält. Standard ist 1. Sie sollten Ihre Skripte
; so anpassen, dass sie SCRIPT_FILENAME anstelle von PATH_TRANSLATED verwenden.
; http://www.php.net/manual/en/ini.core.php#ini.cgi.fix-pathinfo
cgi.fix_pathinfo=1  
[...]  
date.timezone = 'Europe/Berlin'
[...]

systemctl start php-fpm.service  
systemctl enable php-fpm.service  
systemctl enable httpd.service

systemctl restart httpd.service

mkdir /opt/certbot  
cd /opt/certbot  
wget https://dl.eff.org/certbot-auto  
chmod a+x ./certbot-auto

./certbot-auto

yum -y install python-devel

cd /usr/local/src/  
wget http://dist.modpython.org/dist/mod_python-3.5.0.tgz  
tar xfz mod_python-3.5.0.tgz  
cd mod_python-3.5.0

./configure  
make

sed -e 's/(git describe --always)/(git describe --always 2>\/dev\/null)/g' -e 's/`git describe --always`/`git describe --always 2>\/dev\/null`/g' -i $( find . -type f -name Makefile\* -o -name version.sh )

make install

echo 'LoadModule python_module modules/mod_python.so' > /etc/httpd/conf.modules.d/10-python.conf  
systemctl restart httpd.service

yum -y install pure-ftpd

systemctl enable pure-ftpd.service  
systemctl start pure-ftpd.service

yum install openssl

nano /etc/pure-ftpd/pure-ftpd.conf

[...]
# Diese Option kann drei Werte annehmen:
# 0 : SSL/TLS-Verschlüsselungsschicht deaktivieren (Standard).
# 1 : sowohl traditionelle als auch verschlüsselte Sitzungen akzeptieren.
# 2 : Verbindungen ablehnen, die keine SSL/TLS-Sicherheitsmechanismen verwenden,
#     einschließlich anonymer Sitzungen.
# Kommentieren Sie dies nicht blind aus. Stellen Sie sicher, dass :
# 1) Ihr Server mit SSL/TLS-Unterstützung kompiliert wurde (--with-tls),
# 2) Ein gültiges Zertifikat vorhanden ist,
# 3) Nur kompatible Clients sich anmelden können.

TLS                      1
[...]

mkdir -p /etc/ssl/private/

openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

chmod 600 /etc/ssl/private/pure-ftpd.pem

systemctl restart pure-ftpd.service

yum -y install bind bind-utils haveged

cp /etc/named.conf /etc/named.conf_bak  
cat /dev/null > /etc/named.conf  
nano /etc/named.conf

// named.conf\
//\
// Bereitgestellt vom Red Hat bind-Paket zur Konfiguration des ISC BIND named(8) DNS\
// Servers als nur Caching-Nameserver (nur als localhost-DNS-Resolver).\
//\
// Siehe /usr/share/doc/bind*/sample/ für Beispiel-named-Konfigurationsdateien.\
//\
options {\
        listen-on port 53 { any; };\
        listen-on-v6 port 53 { any; };\
        directory       "/var/named";\
        dump-file       "/var/named/data/cache_dump.db";\
        statistics-file "/var/named/data/named_stats.txt";\
        memstatistics-file "/var/named/data/named_mem_stats.txt";\
        allow-query     { any; };\
                allow-recursion {"none";};\
        recursion no;\
};\
logging {\
        channel default_debug {\
                file "data/named.run";\
                severity dynamic;\
        };\
};\
zone "." IN {\
        type hint;\
        file "named.ca";\
};\
include "/etc/named.conf.local";

touch /etc/named.conf.local

systemctl enable named.service  
systemctl start named.service  
systemctl enable haveged.service  
systemctl start haveged.service

yum -y install webalizer awstats perl-DateTime-Format-HTTP perl-DateTime-Format-Builder

nano /etc/httpd/conf.d/awstats.conf

Require local

Require all granted

systemctl restart httpd.service

cd /tmp  
wget http://olivier.sessink.nl/jailkit/jailkit-2.19.tar.gz  
tar xvfz jailkit-2.19.tar.gz  
cd jailkit-2.19  
./configure  
make  
make install  
cd ..  
rm -rf jailkit-2.19*

yum -y install iptables-services fail2ban fail2ban-systemd  
systemctl stop firewalld.service  
systemctl mask firewalld.service  
systemctl disable firewalld.service  
systemctl stop firewalld.service

nano /etc/fail2ban/jail.local

[sshd]  
enabled = true  
action = iptables[name=sshd, port=ssh, protocol=tcp]  
  
[pure-ftpd]  
enabled = true  
action = iptables[name=FTP, port=ftp, protocol=tcp]  
maxretry = 3  
  
[dovecot]  
enabled = true  
action = iptables-multiport[name=dovecot, port="pop3,pop3s,imap,imaps", protocol=tcp]  
maxretry = 5  
  
[postfix-sasl]  
enabled = true  
action = iptables-multiport[name=postfix-sasl, port="smtp,smtps,submission", protocol=tcp]  
maxretry = 3

mkdir /var/run/fail2ban  
systemctl enable fail2ban.service  
systemctl start fail2ban.service

yum -y install rkhunter

yum -y install mailman

touch /var/lib/mailman/data/aliases  
postmap /var/lib/mailman/data/aliases  
/usr/lib/mailman/bin/newlist mailman  
ln -s /usr/lib/mailman/mail/mailman /usr/bin/mailman

nano /etc/aliases

[...]
mailman:              "|/usr/lib/mailman/mail/mailman post mailman"
mailman-admin:        "|/usr/lib/mailman/mail/mailman admin mailman"
mailman-bounces:      "|/usr/lib/mailman/mail/mailman bounces mailman"
mailman-confirm:      "|/usr/lib/mailman/mail/mailman confirm mailman"
mailman-join:         "|/usr/lib/mailman/mail/mailman join mailman"
mailman-leave:        "|/usr/lib/mailman/mail/mailman leave mailman"
mailman-owner:        "|/usr/lib/mailman/mail/mailman owner mailman"
mailman-request:      "|/usr/lib/mailman/mail/mailman request mailman"
mailman-subscribe:    "|/usr/lib/mailman/mail/mailman subscribe mailman"
mailman-unsubscribe:  "|/usr/lib/mailman/mail/mailman unsubscribe mailman"

newaliases

systemctl restart postfix.service

nano /etc/httpd/conf.d/mailman.conf

#
#  httpd-Konfigurationseinstellungen für die Verwendung mit Mailman.
#
ScriptAlias /mailman/ /usr/lib/mailman/cgi-bin/
ScriptAlias /cgi-bin/mailman/ /usr/lib/mailman/cgi-bin/

    AllowOverride None
    Options ExecCGI
    Order allow,deny
    Allow from all


#Alias /pipermail/ /var/lib/mailman/archives/public/
Alias /pipermail /var/lib/mailman/archives/public/

    Options Indexes MultiViews FollowSymLinks
    AllowOverride None
    Order allow,deny
    Allow from all
    AddDefaultCharset Off


# Kommentieren Sie die folgende Zeile aus, um Abfragen an /mailman auf die
# Listinfo-Seite umzuleiten (empfohlen).

# RedirectMatch ^/mailman[/]*$ /mailman/listinfo

systemctl restart httpd.service

systemctl enable mailman.service  
systemctl start mailman.service