Il Server Perfetto CentOS 7.4 con Apache, Postfix, Dovecot, Pure-FTPD, BIND e ISPConfig 3.1

Questo tutorial mostra l’installazione di ISPConfig 3.1 su un server CentOS 7.4 (64Bit). ISPConfig è un pannello di controllo per l’hosting web che consente di configurare i seguenti servizi tramite un browser web: server web Apache, server di posta Postfix, MySQL, server di nomi BIND, PureFTPd, SpamAssassin, ClamAV, Mailman e molti altri.

1 Requisiti

Per installare un sistema del genere avrai bisogno dei seguenti:

Un sistema server CentOS 7.4 minimale. Questo può essere un server installato da zero come descritto nel nostro tutorial sul server minimale CentOS 7 o un server virtuale o root-server di una compagnia di hosting che ha un’installazione minima di CentOS 7.4.
Una connessione Internet veloce.

2 Nota Preliminare

In questo tutorial, utilizzo il nome host server1.example.com con l’indirizzo IP 192.168.0.100 e il gateway 192.168.0.1. Queste impostazioni potrebbero differire per te, quindi devi sostituirle dove appropriato.

Si prega di notare che HHVM e XMPP non sono ancora supportati in ISPConfig per la piattaforma CentOS. Se desideri gestire un server di chat XMPP da ISPConfig o utilizzare HHVM (Hip Hop Virtual Machine) in un sito web ISPConfig, ti preghiamo di utilizzare Debian o Ubuntu 16.04 come sistema operativo del server invece di CentOS 7.4.

3 Preparare il server

Impostare il layout della tastiera

Nel caso in cui il layout della tastiera del server non corrisponda alla tua tastiera, puoi passare al layout corretto (nel mio caso “de” per un layout di tastiera tedesco) con il comando localectl:

localectl set-keymap de

Per ottenere un elenco di tutte le mappature di tasti disponibili, esegui:

localectl list-keymaps

Voglio installare ISPConfig alla fine di questo tutorial, ISPConfig viene fornito con lo script del firewall Bastille che utilizzerò come firewall, quindi disabilito ora il firewall predefinito di CentOS. Naturalmente, sei libero di lasciare attivo il firewall di CentOS e configurarlo secondo le tue esigenze (ma in tal caso non dovresti utilizzare alcun altro firewall in seguito poiché interferirà molto probabilmente con il firewall di CentOS).

Esegui…

yum -y install net-tools  
systemctl stop firewalld.service  
systemctl disable firewalld.service

per fermare e disabilitare il firewall di CentOS. Va bene se ricevi errori qui, questo indica solo che il firewall non era installato.

Dopo, dovresti controllare che il firewall sia stato realmente disabilitato. Per farlo, esegui il comando:

iptables -L

L’output dovrebbe apparire così:

[root@server1 ~]# iptables -L  
Chain INPUT (policy ACCEPT)  
target prot opt source destination

Chain FORWARD (policy ACCEPT)  
target prot opt source destination

Chain OUTPUT (policy ACCEPT)  
target prot opt source destination

Oppure usa il comando firewall-cmd:

firewall-cmd --state

[root@server1 ~]# firewall-cmd --state  
not running  
[root@server1 ~]#

Ora installerò l’editor di configurazione di rete e l’editor basato su shell “nano” che utilizzerò nei prossimi passaggi per modificare i file di configurazione:

yum -y install nano wget NetworkManager-tui

Se non hai configurato la tua scheda di rete durante l’installazione, puoi farlo ora. Esegui…

nmtui

… e vai su Modifica una connessione:

Seleziona la tua interfaccia di rete:

Quindi compila i dettagli della tua rete - disabilita DHCP e compila un indirizzo IP statico, una netmask, il tuo gateway e uno o due server DNS, quindi premi Ok:

Successivamente seleziona OK per confermare le modifiche apportate nelle impostazioni di rete

e Esci per chiudere lo strumento di configurazione di rete nmtui.

Dovresti eseguire

ifconfig

ora per controllare se l’installatore ha ottenuto correttamente il tuo indirizzo IP:

[root@localhost ~]# ifconfig  
ens33: flags=4163 mtu 1500  
 inet 192.168.0.100 netmask 255.255.255.0 broadcast 192.168.0.255  
 inet6 fe80::20c:29ff:fe1a:3d8e prefixlen 64 scopeid 0x20  
 ether 00:0c:29:1a:3d:8e txqueuelen 1000 (Ethernet)  
 RX packets 184972 bytes 256696909 (244.8 MiB)  
 RX errors 0 dropped 0 overruns 0 frame 0  
 TX packets 62983 bytes 7236189 (6.9 MiB)  
 TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0  
  
lo: flags=73 mtu 65536  
 inet 127.0.0.1 netmask 255.0.0.0  
 inet6 ::1 prefixlen 128 scopeid 0x10  
 loop txqueuelen 1 (Local Loopback)  
 RX packets 0 bytes 0 (0.0 B)  
 RX errors 0 dropped 0 overruns 0 frame 0  
 TX packets 0 bytes 0 (0.0 B)  
 TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0  
  
[root@localhost ~]#

Se la tua scheda di rete non appare lì, allora non è abilitata all’avvio. In questo caso, apri il file /etc/sysconfig/network-scripts/ifcfg-eth0

nano /etc/sysconfig/network-scripts/ifcfg-ens33

e imposta ONBOOT su yes:

[...]  
ONBOOT=yes  
[...]

e riavvia il server.

Controlla il tuo /etc/resolv.conf se elenca tutti i server DNS che hai precedentemente configurato:

cat /etc/resolv.conf

Se mancano i server DNS, esegui

nmtui

e aggiungi di nuovo i server DNS mancanti.

Ora, passiamo alla configurazione…

Regolazione di /etc/hosts e /etc/hostname

Successivamente, modificheremo /etc/hosts. Fai in modo che appaia così:

nano /etc/hosts

127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4  
192.168.1.100   server1.example.com     server1  
  
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6

Imposta il nome host nel file /etc/hostname. Il file deve contenere il nome di dominio completamente qualificato (ad es. server1.example.com nel mio caso) e non solo il nome breve come “server1”. Apri il file con l’editor nano:

nano /etc/hostname

E imposta il nome host nel file.

server1.example.com

Salva il file ed esci da nano.

Disabilitare SELinux

SELinux è un’estensione di sicurezza di CentOS che dovrebbe fornire una sicurezza estesa. Secondo me non ne hai bisogno per configurare un sistema sicuro, e di solito causa più problemi che vantaggi (pensa a questo dopo aver passato una settimana a risolvere problemi perché qualche servizio non funzionava come previsto, e poi scopri che tutto era ok, solo SELinux stava causando il problema). Pertanto lo disabilito (questo è un must se desideri installare ISPConfig in seguito).

Modifica /etc/selinux/config e imposta SELINUX=disabled:

nano /etc/selinux/config

# Questo file controlla lo stato di SELinux sul sistema.  
# SELINUX= può assumere uno di questi tre valori:  
#     enforcing - La politica di sicurezza SELinux è applicata.  
#     permissive - SELinux stampa avvisi invece di applicare.  
#     disabled - Nessuna politica SELinux è caricata.  
SELINUX=disabled  
# SELINUXTYPE= può assumere uno di questi due valori:  
#     targeted - I processi mirati sono protetti,  
#     mls - Protezione Multi Level Security.  
SELINUXTYPE=targeted

Dopo dobbiamo riavviare il sistema:

reboot

4 Abilitare Repository Aggiuntivi e Installare Alcuni Software

Per prima cosa, importiamo le chiavi GPG per i pacchetti software:

rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY*

Poi abilitiamo il repository EPEL sul nostro sistema CentOS poiché molti dei pacchetti che installeremo nel corso di questo tutorial non sono disponibili nel repository ufficiale di CentOS 7:

yum -y install epel-release

yum -y install yum-priorities

Modifica /etc/yum.repos.d/epel.repo…

nano /etc/yum.repos.d/epel.repo

… e aggiungi la riga priority=10 alla sezione [epel]:

[epel]  
name=Extra Packages for Enterprise Linux 7 - $basearch  
#baseurl=http://download.fedoraproject.org/pub/epel/7/$basearch  
mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-7&arch=$basearch  
failovermethod=priority  
enabled=1  
priority=10  
gpgcheck=1  
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7  
[...]

Poi aggiorniamo i pacchetti esistenti sul sistema:

yum -y update

Ora installiamo alcuni pacchetti software necessari in seguito:

yum -y groupinstall 'Development Tools'

5 Quota

(Se hai scelto uno schema di partizionamento diverso dal mio, devi adattare questo capitolo affinché la quota si applichi alle partizioni in cui ne hai bisogno.)

Per installare la quota, eseguiamo questo comando:

yum -y install quota

Ora controlliamo se la quota è già abilitata per il filesystem in cui sono memorizzati il sito web (/var/www) e i dati maildir (var/vmail). In questo esempio, ho una grande partizione root, quindi cerco ‘ / ‘:

mount | grep ' / '

[root@server1 ~]# mount | grep ' / '  
/dev/mapper/centos-root on / type xfs (rw,relatime,attr2,inode64,noquota)  
[root@server1 ~]#

Se hai una partizione /var separata, usa:

mount | grep ' /var '

invece. Se la riga contiene la parola “ noquota “, procedi con i seguenti passaggi per abilitare la quota.

Abilitare la quota sulla partizione / (root)

Normalmente abiliteresti la quota nel file /etc/fstab, ma se il filesystem è il filesystem root “/“, allora la quota deve essere abilitata tramite un parametro di avvio del kernel Linux.

Modifica il file di configurazione grub:

nano /etc/default/grub

cerca la riga che inizia con GRUB_CMDLINE_LINUX e aggiungi rootflags=uquota,gquota ai parametri della riga di comando in modo che la riga risultante appaia così:

GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=centos/root rd.lvm.lv=centos/swap rhgb quiet rootflags=uquota,gquota"

e applica le modifiche eseguendo il seguente comando.

cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg_bak  
grub2-mkconfig -o /boot/grub2/grub.cfg

e riavvia il server.

reboot

Ora controlla se la quota è abilitata:

mount | grep ' / '

[root@server1 ~]# mount | grep ' / '  
/dev/mapper/centos-root on / type xfs (rw,relatime,attr2,inode64,usrquota,grpquota)  
[root@server1 ~]#

Quando la quota è attiva, possiamo vedere “ usrquota,grpquota “ nell’elenco delle opzioni di montaggio.

Abilitare la quota su una partizione /var separata

Se hai una partizione /var separata, modifica /etc/fstab e aggiungi ,uquota,gquota alla partizione / ( /dev/mapper/centos-var):

nano /etc/fstab

  
#  
# /etc/fstab  
# Creato da anaconda domenica 21 settembre 2014 16:33:45  
#  
# I filesystem accessibili, per riferimento, sono mantenuti sotto '/dev/disk'  
# Vedi le pagine man fstab(5), findfs(8), mount(8) e/o blkid(8) per ulteriori informazioni  
#  
/dev/mapper/centos-root /                       xfs     defaults        1 1  
/dev/mapper/centos-var /var                     xfs     defaults,uquota,gquota        1 2  
UUID=9ac06939-7e43-4efd-957a-486775edd7b4 /boot                   xfs     defaults        1 3  
/dev/mapper/centos-swap swap                    swap    defaults        0 0

Poi esegui

mount -o remount /var

quotacheck -avugm  
quotaon -avug

per abilitare la quota. Se ricevi un errore che non c’è una partizione con quota abilitata, riavvia il server prima di procedere.

6 Installare Apache, MySQL, phpMyAdmin

Possiamo installare i pacchetti necessari con un solo comando:

yum -y install ntp httpd mod_ssl mariadb-server php php-mysql php-mbstring phpmyadmin

Per garantire che il server non possa essere attaccato tramite la vulnerabilità HTTPOXY, disabiliteremo l’intestazione HTTP_PROXY in apache a livello globale.

Aggiungi la regola dell’intestazione apache alla fine del file httpd.conf:

echo "RequestHeader unset Proxy early" >> /etc/httpd/conf/httpd.conf

E riavvia httpd per applicare la modifica della configurazione.

service httpd restart