Virtuelle Multiserver-Umgebung mit dedizierten Web- & MySQL-, E-Mail- & DNS-Servern auf Debian Squeeze mit ISPConfig 3

7.2.7 fail2ban installieren

Erweitern Sie die jail.local-Datei, die falko in The Perfect Server - Debian Squeeze (Debian 6.0) mit BIND & Courier [ISPConfig 3] vorschlägt: /etc/fail2ban/jail.local

nano /etc/fail2ban/jail.local

Sie müssen Folgendes anhängen oder bearbeiten:

[roundcube]  
enabled  = true  
port     = http  
filter   = roundcube  
logpath  = /var/log/roundcube/userlogins  
maxretry = 5

Zuletzt (und sehr wichtig) vergessen Sie nicht, die roundcube.conf-Datei /etc/fail2ban/filter.d/roundcube.conf zu erstellen.

nano /etc/fail2ban/filter.d/roundcube.conf

mit folgendem Inhalt:

[Definition]
failregex = FAILED login for .*. from 
ignoreregex =

Starten Sie fail2ban neu:

/etc/init.d/fail2ban restart

Sie können überprüfen, ob alle Jails aktiv sind, mit dem Befehl:

iptables -L -n

7.2.8 mod_evasive mit fail2ban-Unterstützung installieren

mod_evasive ist ein Apache-Modul zur Handhabung von DDoS-Angriffen. Wir werden es installieren und fail2ban so konfigurieren, dass es gemeldete Angriffe automatisch sperrt/entsperrt.

apt-get install libapache2-mod-evasive
mkdir /var/lock/mod-evasive
chown www-data /var/lock/mod-evasive
ln -s /etc/alternatives/mail /bin/mail
nano /etc/apache2/mods-available/mod-evasive.conf

und einfügen:


   DOSHashTableSize 3097
   DOSPageCount 3
   DOSSiteCount 60
   DOSPageInterval 1
   DOSSiteInterval 2
   DOSBlockingPeriod 15
   DOSEmailNotify [email protected]
   DOSLogDir "/var/lock/mod_evasive"

Danach aktivieren wir das Modul und starten Apache neu

a2enmod mod-evasive
/etc/init.d/apache2 restart

mod_evasive wird DDoS-Angriffe nicht erkennen. Um sie mit IPTables zu sperren, müssen wir die Datei: /etc/fail2ban/filter.d/apache-dosevasive.conf erstellen:

# Fail2Ban-Konfigurationsdatei
#
# Autor: Xela
#
# $Revision: 728 $
#

[Definition]

# Option:  failregex
# Hinweise:  regex zum Abgleichen der verbotenen Protokolleinträge in apache error.log
#          möglicherweise (aber nicht nur) bereitgestellt von mod_evasive
#
# Werte:  TEXT
#
failregex = ^\[[^\]]*\]\s+\[error\]\s+\[client \] client denied by server configuration:\s

# Option:  ignoreregex
# Hinweise:  regex zum Ignorieren. Wenn dieses regex übereinstimmt, wird die Zeile ignoriert.
# Werte:  TEXT
#
ignoreregex =

und zu /etc/fail2ban/jail.local fügen wir hinzu:

[apache-dosevasive]

enabled = true
filter  = apache-dosevasive
action = iptables-allports[name=dos]
logpath = /var/log/apache*/*error.log
bantime = 600
maxretry = 10

7.3 Den Mail-Server erweitern

7.3.1 Verbesserter E-Mail-SPAM-Schutz

Der folgende Befehl aktiviert eine strengere SPAM-Behandlung für Postfix auf ISPConfig 3-Servern.

postconf -e 'smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_invalid_hostname, reject_non_fqdn_hostname, reject_unknown_recipient_domain, reject_non_fqdn_recipient, reject_unauth_destination, reject_non_fqdn_sender, reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_rbl_client cbl.abuseat.org,reject_rbl_client dul.dnsbl.sorbs.net,reject_rbl_client ix.dnsbl.manitu.net, check_recipient_access mysql:/etc/postfix/mysql-virtual_recipient.cf, reject_unauth_destination'

Dann starten Sie Postfix neu:

/etc/init.d/postfix restart

7.3.2 Postgrey installieren

Postgrey wird 99% aller Spam-E-Mails, die Sie erhalten, eliminieren. Um es zu installieren, führen Sie diese Befehle aus:

apt-get install postgrey
/etc/init.d/postgrey start

Die Postfix-Konfigurationsdateien befinden sich in /etc/postfix. Bearbeiten Sie /etc/postfix/main.cf und fügen Sie check_policy_service inet:127.0.0.1:60000 zu den smtpd_recipient_restrictions hinzu.

Dann laden Sie die Konfiguration von Postfix neu:

postfix reload

7.4 Die Server mit SSL sichern

Zu guter Letzt sollten Sie dieses Tutorial befolgen: https://www.howtoforge.com/securing-your-ispconfig-3-installation-with-a-free-class1-ssl-certificate-from-startssl. Vergessen Sie nicht, die Befehle auf dem richtigen Server auszuführen!

8 Unsere Server warten

Sie sollten regelmäßig dies ausführen, um Ihre Server auf dem neuesten Stand zu halten:

apt-get update && apt-get -y upgrade && apt-get -y dist-upgrade

9 Links/Quellen

Da die meisten nicht von mir stammen, hier sind alle Links, die für dieses Tutorial verwendet wurden:

Virtuelle Multiserver-Umgebung mit dedizierten Web- & MySQL-, E-Mail- & DNS-Servern auf Debian Squeeze mit ISPConfig 3 - Seite 5