Entorno Multiserver Virtual Con Servidores Web & MySQL, Correo Electrónico & DNS Dedicados En Debian Squeeze Con ISPConfig 3

7.2.7 Instalando fail2ban

Extiende el archivo jail.local que falko sugiere en El Servidor Perfecto - Debian Squeeze (Debian 6.0) Con BIND & Courier [ISPConfig 3]: /etc/fail2ban/jail.local

nano /etc/fail2ban/jail.local

Debes agregar o editar lo siguiente:

[roundcube]  
enabled  = true  
port     = http  
filter   = roundcube  
logpath  = /var/log/roundcube/userlogins  
maxretry = 5

Por último (y muy importante) no olvides crear el archivo roundcube.conf /etc/fail2ban/filter.d/roundcube.conf.

nano /etc/fail2ban/filter.d/roundcube.conf

con el siguiente contenido:

[Definition]
failregex = FAILED login for .*. from 
ignoreregex =

Reinicia fail2ban:

/etc/init.d/fail2ban restart

Puedes verificar que todas las cárceles están activas con el comando:

iptables -L -n

7.2.8 Instalando mod_evasive Con Soporte fail2ban

mod_evasive es un módulo de Apache para manejar ataques DDoS. Lo instalaremos y configuraremos fail2ban para prohibir/desprohibir automáticamente los ataques reportados.

apt-get install libapache2-mod-evasive
mkdir /var/lock/mod-evasive
chown www-data /var/lock/mod-evasive
ln -s /etc/alternatives/mail /bin/mail
nano /etc/apache2/mods-available/mod-evasive.conf

y pega:


   DOSHashTableSize 3097
   DOSPageCount 3
   DOSSiteCount 60
   DOSPageInterval 1
   DOSSiteInterval 2
   DOSBlockingPeriod 15
   DOSEmailNotify [email protected]
   DOSLogDir "/var/lock/mod_evasive"

Después activamos el módulo y reiniciamos apache

a2enmod mod-evasive
/etc/init.d/apache2 restart

mod_evasive no detectará ataques DDoS. Para prohibirlos mediante IPTables, debemos crear el archivo: /etc/fail2ban/filter.d/apache-dosevasive.conf:

# Fail2Ban configuration file
#
# Author: Xela
#
# $Revision: 728 $
#
[Definition]

# Option:  failregex
# Notes.:  regex para coincidir con las entradas de registro Prohibido en apache error.log
#          tal vez (pero no solo) proporcionado por mod_evasive
#
# Values:  TEXT
#
failregex = ^\[[^\]]*\]\s+\[error\]\s+\[client \] client denied by server configuration:\s

# Option:  ignoreregex
# Notes.:  regex para ignorar. Si este regex coincide, la línea es ignorada.
# Values:  TEXT
#
ignoreregex =

y a /etc/fail2ban/jail.local añadimos:

[apache-dosevasive]

enabled = true
filter  = apache-dosevasive
action = iptables-allports[name=dos]
logpath = /var/log/apache*/*error.log
bantime = 600
maxretry = 10

7.3 Ampliando el Servidor de Correo

7.3.1 Protección mejorada contra SPAM en correo electrónico

El comando a continuación habilita un manejo de SPAM más estricto para postfix en servidores ISPConfig 3.

postconf -e 'smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_invalid_hostname, reject_non_fqdn_hostname, reject_unknown_recipient_domain, reject_non_fqdn_recipient, reject_unauth_destination, reject_non_fqdn_sender, reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_rbl_client cbl.abuseat.org,reject_rbl_client dul.dnsbl.sorbs.net,reject_rbl_client ix.dnsbl.manitu.net, check_recipient_access mysql:/etc/postfix/mysql-virtual_recipient.cf, reject_unauth_destination'

Luego reinicia postfix:

/etc/init.d/postfix restart

7.3.2 Instalando Postgrey

Postgrey eliminará el 99% de todos los correos electrónicos de spam que recibas. Para instalarlo, ejecuta estos comandos:

apt-get install postgrey
/etc/init.d/postgrey start

Los archivos de configuración de Postfix se encuentran en /etc/postfix. Edita /etc/postfix/main.cf y añade check_policy_service inet:127.0.0.1:60000 a las restricciones smtpd_recipient.

Luego recarga la configuración de postfix:

postfix reload

7.4 Asegurando Los Servidores Usando SSL

Por último, pero no menos importante, debes seguir este tutorial: https://www.howtoforge.com/securing-your-ispconfig-3-installation-with-a-free-class1-ssl-certificate-from-startssl. ¡No olvides ejecutar los comandos en el servidor correcto!

8 Mantenimiento De Nuestros Servidores

Deberías ejecutar esto regularmente para mantener tus servidores actualizados:

apt-get update && apt-get -y upgrade && apt-get -y dist-upgrade

9 Enlaces/Créditos/Fuentes

Dado que la mayoría no es de mi autoría, aquí están todos los enlaces utilizados para este tutorial:

Entorno Multiserver Virtual Con Servidores Web & MySQL, Correo Electrónico & DNS Dedicados En Debian Squeeze Con ISPConfig 3 - Página 5