Il Server Perfetto - Debian 9 (Nginx, BIND, Dovecot, ISPConfig 3.1)

Questo tutorial mostra come preparare un server Debian 9 (con Nginx, BIND, Dovecot) per l’installazione di ISPConfig 3.1, e come installare ISPConfig 3.1. ISPConfig 3 è un pannello di controllo per l’hosting web che consente di configurare i seguenti servizi tramite un browser web: server web Apache o nginx, server di posta Postfix, server IMAP/POP3 Courier o Dovecot, MySQL, BIND o MyDNS nameserver, PureFTPd, SpamAssassin, ClamAV e molti altri. Questa configurazione copre il server web Nginx, BIND come server DNS e Dovecot come server IMAP / POP3.

1 Nota Preliminare

In questo tutorial, utilizzo il nome host server1.example.com con l’indirizzo IP 192.168.1.100 e il gateway 192.168.1.1. Queste impostazioni potrebbero differire per te, quindi devi sostituirle dove appropriato. Prima di procedere ulteriormente, devi avere un’installazione minima di Debian 9. Questo potrebbe essere un’immagine minima di Debian dal tuo fornitore di hosting oppure puoi utilizzare il tutorial Minimal Debian Server per configurare il sistema di base.

2 Installa il Server SSH

Se non hai installato il server OpenSSH durante l’installazione del sistema, puoi farlo ora:

apt-get -y install ssh openssh-server

Da ora in poi puoi utilizzare un client SSH come PuTTY e connetterti dal tuo workstation al tuo server Debian 9 e seguire i passaggi rimanenti di questo tutorial.

3 Installa un editor di testo shell (Opzionale)

Utilizzerò l’editor di testo nano in questo tutorial. Alcuni utenti preferiscono il classico editor vi, quindi installerò entrambi gli editor qui. Il programma vi predefinito ha un comportamento strano su Debian e Ubuntu; per risolvere questo, installiamo vim-nox:

apt-get -y install nano vim-nox

(Non è necessario farlo se utilizzi un editor di testo diverso come joe.)

4 Configura il Nome Host

Il nome host del tuo server dovrebbe essere un sottodominio come “server1.example.com”. Non utilizzare un nome di dominio senza parte del sottodominio come “example.com” come nome host poiché questo causerà problemi in seguito con la tua configurazione della posta. Prima, dovresti controllare il nome host in /etc/hosts e cambiarlo quando necessario. La riga dovrebbe essere: “Indirizzo IP - spazio - nome host completo incl. dominio - spazio - parte del sottodominio”. Modifica /etc/hosts. Fai in modo che appaia così:

nano /etc/hosts

127.0.0.1       localhost.localdomain   localhost
192.168.1.100   server1.example.com     server1

# Le seguenti righe sono desiderabili per host compatibili con IPv6
::1     localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

Poi modifica il file /etc/hostname:

nano /etc/hostname

Dovrebbe contenere solo la parte del sottodominio, nel nostro caso:

server1

Infine, riavvia il server per applicare la modifica:

reboot

Accedi di nuovo e controlla se il nome host è corretto ora con questi comandi:

hostname  
hostname -f

L’output dovrebbe essere simile a questo:

root@server1:/tmp# hostname  
server1  
root@server1:/tmp# hostname -f  
server1.example.com

5 Aggiorna la Tua Installazione di Debian

Prima assicurati che il tuo /etc/apt/sources.list contenga il repository stretch/updates (questo assicura che tu riceva sempre gli aggiornamenti più recenti per il virus scanner ClamAV - questo progetto pubblica versioni molto spesso, e a volte le versioni vecchie smettono di funzionare), e che i repository contrib e non-free siano abilitati.

nano /etc/apt/sources.list

deb http://ftp.us.debian.org/debian/ stretch main contrib non-free  
deb-src http://ftp.us.debian.org/debian/ stretch main contrib non-free  
  
deb http://security.debian.org/debian-security stretch/updates main contrib non-free  
deb-src http://security.debian.org/debian-security stretch/updates main contrib non-free

IMPORTANTE: Aggiungi il repository Debian Backports come mostrato sopra.

Esegui

apt-get update

per aggiornare il database dei pacchetti apt e

apt-get upgrade

per installare gli aggiornamenti più recenti (se ce ne sono).

6 Cambia la Shell Predefinita

/bin/sh è un collegamento simbolico a /bin/dash, tuttavia abbiamo bisogno di /bin/bash, non di /bin/dash. Pertanto facciamo questo:

dpkg-reconfigure dash

Usare dash come shell di sistema predefinita (/bin/sh)? <– No

Se non fai questo, l’installazione di ISPConfig fallirà.

7 Sincronizza l’Orologio di Sistema

È una buona idea sincronizzare l’orologio di sistema con un server NTP ( n etwork t ime p rotocol) su Internet. Basta eseguire

apt-get install ntp

e l’ora del tuo sistema sarà sempre sincronizzata.

8 Installa Postfix, Dovecot, MySQL, rkhunter e binutils

Possiamo installare Postfix, Dovecot, MySQL, rkhunter e Binutils con un solo comando:

apt-get install postfix postfix-mysql postfix-doc mariadb-client mariadb-server openssl getmail4 rkhunter binutils dovecot-imapd dovecot-pop3d dovecot-mysql dovecot-sieve dovecot-lmtpd sudo

Ti verranno poste le seguenti domande:

Tipo generale di configurazione della posta: <– Internet Site
Nome della posta di sistema: <– server1.example.com

Per proteggere l’installazione di MariaDB / MySQL e disabilitare il database di test, esegui questo comando:

mysql_secure_installation

Non dobbiamo cambiare la password root di MySQL poiché ne abbiamo appena impostata una nuova durante l’installazione. Rispondi alle domande come segue:

Change the root password? [Y/n] <-- y  
New password: <-- Inserisci una nuova password root di MySQL  
Re-enter new password: <-- Ripeti la password root di MySQL  
Remove anonymous users? [Y/n] <-- y  
Disallow root login remotely? [Y/n] <-- y  
Remove test database and access to it? [Y/n] <-- y  
Reload privilege tables now? [Y/n] <-- y

Successivamente, apri le porte TLS/SSL e di invio in Postfix:

nano /etc/postfix/master.cf

Decommenta le sezioni di invio e smtps come segue (lascia -o milter_macro_daemon_name=ORIGINATING poiché non ne abbiamo bisogno):

[...]  
submission inet n - y - - smtpd  
 -o syslog_name=postfix/submission  
 -o smtpd_tls_security_level=encrypt  
 -o smtpd_sasl_auth_enable=yes  
 -o smtpd_client_restrictions=permit_sasl_authenticated,reject  
# -o smtpd_reject_unlisted_recipient=no  
# -o smtpd_client_restrictions=$mua_client_restrictions  
# -o smtpd_helo_restrictions=$mua_helo_restrictions  
# -o smtpd_sender_restrictions=$mua_sender_restrictions  
# -o smtpd_recipient_restrictions=  
# -o smtpd_relay_restrictions=permit_sasl_authenticated,reject  
# -o milter_macro_daemon_name=ORIGINATING  
smtps inet n - y - - smtpd  
 -o syslog_name=postfix/smtps  
 -o smtpd_tls_wrappermode=yes  
 -o smtpd_sasl_auth_enable=yes  
 -o smtpd_client_restrictions=permit_sasl_authenticated,reject  
# -o smtpd_reject_unlisted_recipient=no  
# -o smtpd_client_restrictions=$mua_client_restrictions  
# -o smtpd_helo_restrictions=$mua_helo_restrictions  
# -o smtpd_sender_restrictions=$mua_sender_restrictions  
# -o smtpd_recipient_restrictions=  
# -o smtpd_relay_restrictions=permit_sasl_authenticated,reject  
# -o milter_macro_daemon_name=ORIGINATING  
[...]

Riavvia Postfix successivamente:

service postfix restart

Vogliamo che MariaDB ascolti su tutte le interfacce, non solo su localhost, quindi modifichiamo /etc/mysql/mariadb.conf.d/50-server.cnf e commentiamo la riga bind-address = 127.0.0.1 e aggiungiamo la riga sql-mode=”NO_ENGINE_SUBSTITUTION”:

nano /etc/mysql/mariadb.conf.d/50-server.cnf

[...]  
# Invece di skip-networking il predefinito è ora ascoltare solo su  
# localhost che è più compatibile e non è meno sicuro.  
#bind-address           = 127.0.0.1  
  
sql-mode="NO_ENGINE_SUBSTITUTION"  
[...]

Imposta il metodo di autenticazione della password in MariaDB su nativo in modo da poter utilizzare PHPMyAdmin in seguito per connetterti come utente root:

echo "update mysql.user set plugin = 'mysql_native_password' where user='root';" | mysql -u root

Modifica il file /etc/mysql/debian.cnf e imposta la password root di MYSQL / MariaDB lì due volte nelle righe che iniziano con password.

nano /etc/mysql/debian.cnf

La password root di MySQL che deve essere aggiunta è mostrata in rosso, in questo esempio, la password è “howtoforge”.

# Generato automaticamente per gli script Debian. NON TOCCARE!  
[client]  
host = localhost  
user = root  
password = howtoforge  
socket = /var/run/mysqld/mysqld.sock  
[mysql_upgrade]  
host = localhost  
user = root  
password = howtoforge  
socket = /var/run/mysqld/mysqld.sock  
basedir = /usr

Per prevenire l’errore ‘ Errore in accept: Troppi file aperti ‘ imposteremo ora limiti di file aperti più elevati per MariaDB.

Apri il file /etc/security/limits.conf con un editor:

nano /etc/security/limits.conf

e aggiungi queste righe alla fine del file.

mysql soft nofile 65535  
mysql hard nofile 65535

Successivamente, crea una nuova directory /etc/systemd/system/mysql.service.d/ con il comando mkdir.

mkdir -p /etc/systemd/system/mysql.service.d/

e aggiungi un nuovo file all’interno:

nano /etc/systemd/system/mysql.service.d/limits.conf

incolla le seguenti righe in quel file:

[Service]  
LimitNOFILE=infinity

Salva il file e chiudi l’editor nano.

Poi ricarichiamo systemd e riavviamo MariaDB:

systemctl daemon-reload  
service mysql restart

Ora controlla che il networking sia abilitato. Esegui

netstat -tap | grep mysql

L’output dovrebbe apparire così:

root@server1:~# netstat -tap | grep mysql  
tcp6       0      0 [::]:mysql              [::]:*                     LISTEN      4027/mysqld  
root@server1:~#

9 Installa Amavisd-new, SpamAssassin e ClamAV

Per installare amavisd-new, SpamAssassin e ClamAV, eseguiamo:

apt-get install amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 arj nomarch lzop cabextract apt-listchanges libnet-ldap-perl libauthen-sasl-perl clamav-docs daemon libio-string-perl libio-socket-ssl-perl libnet-ident-perl zip libnet-dns-perl libdbd-mysql-perl postgrey

La configurazione di ISPConfig 3 utilizza amavisd che carica internamente la libreria del filtro SpamAssassin, quindi possiamo fermare SpamAssassin per liberare un po’ di RAM:

service spamassassin stop  
systemctl disable spamassassin

9.1 Installa il Server XMPP Metronome (opzionale)

Questo passaggio installa il Server XMPP Metronome che fornisce un server di chat compatibile con il protocollo XMPP. Questo passaggio è facoltativo, se non hai bisogno di un server di chat, puoi saltare questo passaggio. Nessuna altra funzione di ISPConfig dipende da questo software.

Aggiungi il repository del pacchetto Prosody in Debian.

echo "deb http://packages.prosody.im/debian stretch main" > /etc/apt/sources.list.d/metronome.list  
wget http://prosody.im/files/prosody-debian-packages.key -O - | sudo apt-key add -

Aggiorna l’elenco dei pacchetti:

apt-get update

Installa i programmi necessari per il processo di build

apt-get install build-essential

e installa i pacchetti con apt.

apt-get install git lua5.1 liblua5.1-0-dev lua-filesystem libidn11-dev libssl-dev lua-zlib lua-expat lua-event lua-bitop lua-socket lua-sec luarocks luarocks

luarocks install lpc

Aggiungi un utente shell per Metronome.

adduser --no-create-home --disabled-login --gecos 'Metronome' metronome

Scarica Metronome nella directory /opt e compila.

cd /opt; git clone https://github.com/maranda/metronome.git metronome  
cd ./metronome; ./configure --ostype=debian --prefix=/usr  
make  
make install

Metronome è ora installato in /opt/metronome.