Il Server Perfetto - CentOS 6.1 x86_64 Con nginx [ISPConfig 3] - Pagina 6

18 Installa PureFTPd

PureFTPd può essere installato con il seguente comando:

yum install pure-ftpd

Poi crea i collegamenti di avvio del sistema e avvia PureFTPd:

chkconfig –levels 235 pure-ftpd on
/etc/init.d/pure-ftpd start

Ora configuriamo PureFTPd per consentire sessioni FTP e TLS. FTP è un protocollo molto insicuro perché tutte le password e tutti i dati vengono trasferiti in chiaro. Utilizzando TLS, l’intera comunicazione può essere crittografata, rendendo così FTP molto più sicuro.

OpenSSL è necessario per TLS; per installare OpenSSL, eseguiamo semplicemente:

yum install openssl

Apri /etc/pure-ftpd/pure-ftpd.conf…

vi /etc/pure-ftpd/pure-ftpd.conf

Se desideri consentire sessioni FTP e TLS, imposta TLS su 1:

| [...] # Questa opzione può accettare tre valori : # 0 : disabilita il livello di crittografia SSL/TLS (predefinito). # 1 : accetta sia sessioni tradizionali che crittografate. # 2 : rifiuta le connessioni che non utilizzano meccanismi di sicurezza SSL/TLS, # comprese le sessioni anonime. # Non _devi_ decommentare questo alla cieca. Assicurati che : # 1) Il tuo server sia stato compilato con supporto SSL/TLS (--with-tls), # 2) Un certificato valido sia in atto, # 3) Solo i client compatibili si connetteranno. TLS 1 [...] |

Per utilizzare TLS, dobbiamo creare un certificato SSL. Lo creo in /etc/ssl/private/, quindi creo prima quella directory:

mkdir -p /etc/ssl/private/

Dopo, possiamo generare il certificato SSL come segue:

openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem 

Nome del Paese (codice a 2 lettere) [XX]: <– Inserisci il Nome del tuo Paese (ad es., “IT”).
Nome dello Stato o della Provincia (nome completo) []: <– Inserisci il Nome del tuo Stato o Provincia.
Nome della Località (es. città) [Città Predefinita]: <– Inserisci la tua Città.
Nome dell’Organizzazione (es. azienda) [Azienda Predefinita Ltd]: <– Inserisci il Nome della tua Organizzazione (ad es., il nome della tua azienda).
Nome dell’Unità Organizzativa (es. sezione) []: <– Inserisci il Nome della tua Unità Organizzativa (es. “Reparto IT”).
Nome Comune (es. il tuo nome o il nome host del tuo server) []: <– Inserisci il Nome di Dominio Completo del sistema (es. “server1.example.com”).
Indirizzo Email []: <– Inserisci il tuo Indirizzo Email.

Cambia i permessi del certificato SSL:

chmod 600 /etc/ssl/private/pure-ftpd.pem

Infine riavvia PureFTPd:

 /etc/init.d/pure-ftpd restart

Questo è tutto. Ora puoi provare a connetterti utilizzando il tuo client FTP; tuttavia, dovresti configurare il tuo client FTP per utilizzare TLS.

19 Installa BIND

Possiamo installare BIND come segue:

yum install bind bind-utils

Successivamente apri /etc/sysconfig/named…

vi /etc/sysconfig/named

… e assicurati che la riga ROOTDIR=/var/named/chroot sia commentata:

| # Opzioni del processo BIND named # ~~~~~~~~~~~~~~~~~~~~~~~~~~ # Attualmente, puoi utilizzare le seguenti opzioni: # # ROOTDIR="/var/named/chroot" -- eseguirà named in un ambiente chroot. # devi configurare l'ambiente chroot # (installa il pacchetto bind-chroot) prima # di farlo. # NOTA: # Queste directory vengono montate automaticamente in chroot se sono # vuote nella directory ROOTDIR. Semplificherà la manutenzione del tuo # ambiente chroot. # - /var/named # - /etc/pki/dnssec-keys # - /etc/named # - /usr/lib64/bind o /usr/lib/bind (dipendente dall'architettura) # # Questi file vengono montati anche se il file di destinazione non esiste in # chroot. # - /etc/named.conf # - /etc/rndc.conf # - /etc/rndc.key # - /etc/named.rfc1912.zones # - /etc/named.dnssec.keys # - /etc/named.iscdlv.key # # Non dimenticare di aggiungere la riga "$AddUnixListenSocket /var/named/chroot/dev/log" # al tuo file /etc/rsyslog.conf. Altrimenti, il tuo logging diventa # rotto quando il demone rsyslogd viene riavviato (a causa di un aggiornamento, ad esempio). # # OPZIONI="qualunque" -- Queste opzioni aggiuntive verranno passate a named # all'avvio. Non aggiungere -t qui, usa ROOTDIR invece. # # KEYTAB_FILE="/dir/file" -- Specifica il file keytab del servizio named (per GSS-TSIG) # # DISABLE_ZONE_CHECKING -- Per impostazione predefinita, lo script di avvio chiama # l'utilità named-checkzone per ogni zona per garantire che tutte le zone siano # valide prima che named parta. Se imposti questa opzione # su 'yes', allora lo script di avvio non esegue quei # controlli. |

Fai un backup del file /etc/named.conf esistente e crea un nuovo file come segue:

cp /etc/named.conf /etc/named.conf_bak
cat /dev/null > /etc/named.conf
vi /etc/named.conf

| // named.conf // // Fornito dal pacchetto bind di Red Hat per configurare il server DNS ISC BIND named(8) // come un nameserver solo caching (solo come risolutore DNS localhost). // // Vedi /usr/share/doc/bind*/sample/ per esempi di file di configurazione named. // options { listen-on port 53 { any; }; listen-on-v6 port 53 { any; }; directory "/var/named"; dump-file "/var/named/data/cache_dump.db"; statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; allow-query { any; }; recursion no; allow-recursion { none; }; }; logging { channel default_debug { file "data/named.run"; severity dynamic; }; }; zone "." IN { type hint; file "named.ca"; }; include "/etc/named.conf.local"; |

Crea il file /etc/named.conf.local che è incluso alla fine di /etc/named.conf ( /etc/named.conf.local verrà successivamente popolato da ISPConfig se crei zone DNS in ISPConfig):

touch /etc/named.conf.local

Poi creiamo i collegamenti di avvio e avviamo BIND:

chkconfig –levels 235 named on
/etc/init.d/named start

20 Installa Vlogger, Webalizer e AWStats

Vlogger, webalizer e AWStats possono essere installati come segue:

yum install webalizer awstats perl-DateTime-Format-HTTP perl-DateTime-Format-Builder

cd /tmp
wget http://n0rp.chemlab.org/vlogger/vlogger-1.3.tar.gz
tar xvfz vlogger-1.3.tar.gz
mv vlogger-1.3/vlogger /usr/sbin/
rm -rf vlogger*

21 Installa Jailkit

Jailkit è necessario solo se desideri chrootare gli utenti SSH. Può essere installato come segue (importante: Jailkit deve essere installato prima di ISPConfig - non può essere installato dopo!):

cd /tmp
wget http://olivier.sessink.nl/jailkit/jailkit-2.14.tar.gz
tar xvfz jailkit-2.14.tar.gz
cd jailkit-2.14
./configure
make
make install
cd ..
rm -rf jailkit-2.14*

22 Installa fail2ban

Questo è facoltativo ma raccomandato, perché il monitor di ISPConfig cerca di mostrare il log:

yum install fail2ban

Dobbiamo configurare fail2ban per registrare nel file di log /var/log/fail2ban.log perché questo è il file di log monitorato dal modulo Monitor di ISPConfig. Apri /etc/fail2ban/fail2ban.conf…

vi /etc/fail2ban/fail2ban.conf

… e commenta la riga logtarget = SYSLOG e aggiungi logtarget = /var/log/fail2ban.log:

| [...] # Opzione: logtarget # Note.: Imposta il target di log. Questo potrebbe essere un file, SYSLOG, STDERR o STDOUT. # Può essere specificato solo un target di log. # Valori: STDOUT STDERR SYSLOG file Predefinito: /var/log/fail2ban.log # #logtarget = SYSLOG logtarget = /var/log/fail2ban.log [...] |

Poi crea i collegamenti di avvio del sistema per fail2ban e avvialo:

chkconfig –levels 235 fail2ban on
/etc/init.d/fail2ban start

23 Installa rkhunter

rkhunter può essere installato come segue:

yum install rkhunter