Environnement Multiserveur Virtuel Avec Serveurs Web & MySQL, Email & DNS Dédiés Sur Debian Squeeze Avec ISPConfig 3

7.2.7 Installation de fail2ban

Étendez le fichier jail.local que falko suggère dans Le Serveur Parfait - Debian Squeeze (Debian 6.0) Avec BIND & Courier [ISPConfig 3]: /etc/fail2ban/jail.local

nano /etc/fail2ban/jail.local

Vous devez ajouter ou modifier ce qui suit:

[roundcube]  
enabled  = true  
port     = http  
filter   = roundcube  
logpath  = /var/log/roundcube/userlogins  
maxretry = 5

Enfin (et très important), n’oubliez pas de créer le fichier roundcube.conf /etc/fail2ban/filter.d/roundcube.conf.

nano /etc/fail2ban/filter.d/roundcube.conf

avec le contenu suivant:

[Definition]
failregex = FAILED login for .*. from 
ignoreregex =

Redémarrez fail2ban:

/etc/init.d/fail2ban restart

Vous pouvez vérifier que toutes les prisons sont actives avec la commande:

iptables -L -n

7.2.8 Installation de mod_evasive Avec Support fail2ban

mod_evasive est un module Apache pour gérer les attaques DDoS. Nous allons l’installer et configurer fail2ban pour interdire/lever l’interdiction des attaques signalées.

apt-get install libapache2-mod-evasive
mkdir /var/lock/mod-evasive
chown www-data /var/lock/mod-evasive
ln -s /etc/alternatives/mail /bin/mail
nano /etc/apache2/mods-available/mod-evasive.conf

et collez:


   DOSHashTableSize 3097
   DOSPageCount 3
   DOSSiteCount 60
   DOSPageInterval 1
   DOSSiteInterval 2
   DOSBlockingPeriod 15
   DOSEmailNotify [email protected]
   DOSLogDir "/var/lock/mod_evasive"

Ensuite, nous activons le module et redémarrons apache

a2enmod mod-evasive
/etc/init.d/apache2 restart

mod_evasive ne détectera pas les attaques DDoS. Pour les interdire par IPTables, nous devons créer le fichier: /etc/fail2ban/filter.d/apache-dosevasive.conf:

# Fichier de configuration Fail2Ban
#
# Auteur: Xela
#
# $Revision: 728 $
#

[Definition]

# Option:  failregex
# Notes.:  regex pour correspondre aux entrées de journal interdites dans apache error.log
#          peut-être (mais pas seulement) fourni par mod_evasive
#
# Valeurs:  TEXTE
#
failregex = ^\[[^\]]*\]\s+\[error\]\s+\[client \] client denied by server configuration:\s

# Option:  ignoreregex
# Notes.:  regex à ignorer. Si ce regex correspond, la ligne est ignorée.
# Valeurs:  TEXTE
#
ignoreregex =

et à /etc/fail2ban/jail.local nous ajoutons:

[apache-dosevasive]

enabled = true
filter  = apache-dosevasive
action = iptables-allports[name=dos]
logpath = /var/log/apache*/*error.log
bantime = 600
maxretry = 10

7.3 Étendre le Serveur Mail

7.3.1 Protection SPAM e-mail améliorée

La commande ci-dessous active un traitement SPAM plus strict pour postfix sur les serveurs ISPConfig 3.

postconf -e 'smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_invalid_hostname, reject_non_fqdn_hostname, reject_unknown_recipient_domain, reject_non_fqdn_recipient, reject_unauth_destination, reject_non_fqdn_sender, reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_rbl_client cbl.abuseat.org,reject_rbl_client dul.dnsbl.sorbs.net,reject_rbl_client ix.dnsbl.manitu.net, check_recipient_access mysql:/etc/postfix/mysql-virtual_recipient.cf, reject_unauth_destination'

Puis redémarrez postfix:

/etc/init.d/postfix restart

7.3.2 Installation de Postgrey

Postgrey éliminera 99% de tous les e-mails de spam que vous recevez. Pour l’installer, exécutez ces commandes:

apt-get install postgrey
/etc/init.d/postgrey start

Les fichiers de configuration de Postfix se trouvent dans /etc/postfix. Éditez /etc/postfix/main.cf et ajoutez check_policy_service inet:127.0.0.1:60000 aux smtpd_recipient_restrictions.

Puis rechargez la configuration de postfix:

postfix reload

7.4 Sécuriser Les Serveurs Avec SSL

Enfin, vous devriez suivre ce tutoriel: https://www.howtoforge.com/securing-your-ispconfig-3-installation-with-a-free-class1-ssl-certificate-from-startssl. N’oubliez pas d’exécuter les commandes sur le bon serveur!

8 Maintenir Nos Serveurs

Vous devriez régulièrement exécuter ceci pour garder vos serveurs à jour:

apt-get update && apt-get -y upgrade && apt-get -y dist-upgrade

9 Liens/Crédits/Sources

Puisque la plupart ne vient pas de moi, voici tous les liens utilisés pour ce tutoriel:

Environnement Multiserveur Virtuel Avec Serveurs Web & MySQL, Email & DNS Dédiés Sur Debian Squeeze Avec ISPConfig 3 - Page 5