Il Server Perfetto - Ubuntu 14.10 con Apache, PHP, MySQL, PureFTPD, BIND, Postfix, Dovecot e ISPConfig

Versione 1.0
Autore: Falko Timme, aggiornato da Srijan Kishore
Segui howtoforge su Twitter
Ultima modifica 31/Ott/2014

Questo tutorial mostra come installare un server Ubuntu 14.10 (Utopic Unicorn) (con Apache2, BIND, Dovecot) per l’installazione di ISPConfig 3, e come installare ISPConfig 3. ISPConfig 3 è un pannello di controllo per web hosting che consente di configurare i seguenti servizi tramite un browser web: server web Apache o nginx, server di posta Postfix, server IMAP/POP3 Courier o Dovecot, MySQL, server di nomi BIND o MyDNS, PureFTPd, SpamAssassin, ClamAV e molti altri. Questa configurazione copre l’installazione di Apache (invece di nginx), BIND (invece di MyDNS) e Dovecot (invece di Courier).

Manuale di ISPConfig 3

~~Per imparare a utilizzare ISPConfig 3, ti consiglio vivamente di scaricare il Manuale di ISPConfig 3.~~

In più di 300 pagine, copre il concetto alla base di ISPConfig (amministratore, rivenditori, clienti), spiega come installare e aggiornare ISPConfig 3, include un riferimento per tutti i moduli e i campi modulo in ISPConfig insieme a esempi di input validi, e fornisce tutorial per i compiti più comuni in ISPConfig 3. Illustra anche come rendere il tuo server più sicuro e include una sezione di risoluzione dei problemi alla fine.

1. Nota Preliminare

In questo tutorial utilizzo il nome host server1.example.com con l’indirizzo IP 192.168.0.100 e il gateway 192.168.0.1. Queste impostazioni potrebbero differire per te, quindi devi sostituirle dove appropriato. Prima di procedere, devi avere un’installazione minima di base di Ubuntu 14.10 come spiegato nel tutorial.

2. Modifica /etc/apt/sources.list e Aggiorna la Tua Installazione di Linux

~~Modifica /etc/apt/sources.list. Commenta o rimuovi il CD di installazione dal file e assicurati che i repository universe e multiverse siano abilitati. Dovrebbe apparire così:~~

nano /etc/apt/sources.list

# 

# deb cdrom:[Ubuntu-Server 14.10 _Utopic Unicorn_ - Release amd64 (20141022.2)]/ utopic main restricted

#deb cdrom:[Ubuntu-Server 14.10 _Utopic Unicorn_ - Release amd64 (20141022.2)]/ utopic main restricted

# Vedi http://help.ubuntu.com/community/UpgradeNotes per come aggiornare a
# versioni più recenti della distribuzione.
deb http://de.archive.ubuntu.com/ubuntu/ utopic main restricted
deb-src http://de.archive.ubuntu.com/ubuntu/ utopic main restricted

## Aggiornamenti di correzione bug importanti prodotti dopo il rilascio finale della
## distribuzione.
deb http://de.archive.ubuntu.com/ubuntu/ utopic-updates main restricted
deb-src http://de.archive.ubuntu.com/ubuntu/ utopic-updates main restricted

## N.B. il software di questo repository è COMPLETAMENTE NON SUPPORTATO dal team di Ubuntu.
## Inoltre, si prega di notare che il software in universe NON riceverà alcuna
## revisione o aggiornamenti dal team di sicurezza di Ubuntu.
deb http://de.archive.ubuntu.com/ubuntu/ utopic universe
deb-src http://de.archive.ubuntu.com/ubuntu/ utopic universe
deb http://de.archive.ubuntu.com/ubuntu/ utopic-updates universe
deb-src http://de.archive.ubuntu.com/ubuntu/ utopic-updates universe

## N.B. il software di questo repository è COMPLETAMENTE NON SUPPORTATO dal team di Ubuntu 
## e potrebbe non essere sotto una licenza libera. Ti preghiamo di soddisfare te stesso riguardo ai 
## tuoi diritti di utilizzare il software. Inoltre, si prega di notare che il software in 
## multiverse NON riceverà alcuna revisione o aggiornamenti dal team di sicurezza di Ubuntu.
deb http://de.archive.ubuntu.com/ubuntu/ utopic multiverse
deb-src http://de.archive.ubuntu.com/ubuntu/ utopic multiverse
deb http://de.archive.ubuntu.com/ubuntu/ utopic-updates multiverse
deb-src http://de.archive.ubuntu.com/ubuntu/ utopic-updates multiverse

## N.B. il software di questo repository potrebbe non essere stato testato come
## ampiamente come quello contenuto nella versione principale, anche se include
## versioni più recenti di alcune applicazioni che potrebbero fornire funzionalità utili.
## Inoltre, si prega di notare che il software in backports NON riceverà alcuna revisione
## o aggiornamenti dal team di sicurezza di Ubuntu.
deb http://de.archive.ubuntu.com/ubuntu/ utopic-backports main restricted universe multiverse
deb-src http://de.archive.ubuntu.com/ubuntu/ utopic-backports main restricted universe multiverse

deb http://security.ubuntu.com/ubuntu utopic-security main restricted
deb-src http://security.ubuntu.com/ubuntu utopic-security main restricted
deb http://security.ubuntu.com/ubuntu utopic-security universe
deb-src http://security.ubuntu.com/ubuntu utopic-security universe
deb http://security.ubuntu.com/ubuntu utopic-security multiverse
deb-src http://security.ubuntu.com/ubuntu utopic-security multiverse

## Decommenta le seguenti due righe per aggiungere software dal repository
## 'partner' di Canonical.
## Questo software non fa parte di Ubuntu, ma è offerto da Canonical e dai
## rispettivi fornitori come servizio agli utenti di Ubuntu.
# deb http://archive.canonical.com/ubuntu utopic partner
# deb-src http://archive.canonical.com/ubuntu utopic partner

## Decommenta le seguenti due righe per aggiungere software dal repository
## 'extras' di Ubuntu.
## Questo software non fa parte di Ubuntu, ma è offerto da sviluppatori di terze parti
## che vogliono distribuire il loro software più recente.
# deb http://extras.ubuntu.com/ubuntu utopic main
# deb-src http://extras.ubuntu.com/ubuntu utopic main

~~Poi esegui~~

apt-get update

~~per aggiornare il database dei pacchetti apt e~~

apt-get upgrade

~~per installare gli ultimi aggiornamenti (se ci sono). Se vedi che un nuovo kernel viene installato come parte degli aggiornamenti, dovresti riavviare il sistema dopo:~~

reboot

3. Cambiare la Shell Predefinita

~~/bin/sh è un collegamento simbolico a /bin/dash, tuttavia abbiamo bisogno di /bin/bash, non di /bin/dash. Pertanto facciamo questo:~~

dpkg-reconfigure dash

~~Usare dash come shell di sistema predefinita (/bin/sh)? <– No~~

~~Se non fai questo, l’installazione di ISPConfig fallirà.~~

4. Disabilitare AppArmor

AppArmor è un’estensione di sicurezza (simile a SELinux) che dovrebbe fornire sicurezza estesa. A mio parere non ne hai bisogno per configurare un sistema sicuro, e di solito causa più problemi che vantaggi (pensa a questo dopo aver fatto una settimana di risoluzione dei problemi perché qualche servizio non funzionava come previsto, e poi scopri che tutto era a posto, solo AppArmor stava causando il problema). Pertanto lo disabilito (questo è un must se vuoi installare ISPConfig in seguito).

~~Possiamo disabilitarlo in questo modo:~~

service apparmor stop   
update-rc.d -f apparmor remove   
apt-get remove apparmor apparmor-utils

5. Sincronizzare l’Orologio di Sistema

~~È una buona idea sincronizzare l’orologio di sistema con un server NTP ( network time protocol) su Internet. Esegui semplicemente~~

apt-get install ntp ntpdate

~~e l’ora del tuo sistema sarà sempre sincronizzata.~~

6. Installare Postfix, Dovecot, MySQL, phpMyAdmin, rkhunter, binutils

~~Per installare postfix dobbiamo fermare e rimuovere sendmail~~

service sendmail stop; update-rc.d -f sendmail remove

~~Ora possiamo installare Postfix, Dovecot, MySQL, rkhunter e binutils con un singolo comando:~~

apt-get install postfix postfix-mysql postfix-doc mariadb-client mariadb-server openssl getmail4 rkhunter binutils dovecot-imapd dovecot-pop3d dovecot-mysql dovecot-sieve sudo

~~Ti verranno poste le seguenti domande:~~

Nuova password per l’utente MySQL “root”: <– yourrootsqlpassword
Ripeti la password per l’utente MySQL “root”: <– yourrootsqlpassword
Creare un certificato SSL autofirmato?: <– Sì
Nome host: <– server1.example.com
Solo locale: <– OK
Tipo generale di configurazione della posta: <– Internet Site
Nome della posta di sistema: <– server1.example.com

~~Successivamente apri le porte TLS/SSL e di invio in Postfix:~~

nano /etc/postfix/master.cf

~~Decommenta le sezioni di invio e smtps come segue - aggiungi la riga -o smtpd_client_restrictions=permit_sasl_authenticated,reject a entrambe le sezioni e lascia tutto il resto commentato:~~

[...]
submission inet n       -       -       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
#  -o smtpd_reject_unlisted_recipient=no
#  -o smtpd_client_restrictions=$mua_client_restrictions
#  -o smtpd_helo_restrictions=$mua_helo_restrictions
#  -o smtpd_sender_restrictions=$mua_sender_restrictions
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING
smtps     inet  n       -       -       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
#  -o smtpd_reject_unlisted_recipient=no
#  -o smtpd_client_restrictions=$mua_client_restrictions
#  -o smtpd_helo_restrictions=$mua_helo_restrictions
#  -o smtpd_sender_restrictions=$mua_sender_restrictions
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING
[...]

~~Riavvia Postfix successivamente:~~

service postfix restart

~~Vogliamo che MySQL ascolti su tutte le interfacce, non solo su localhost, quindi modifichiamo /etc/mysql/my.cnf e commentiamo la riga bind-address = 127.0.0.1:~~

nano /etc/mysql/my.cnf

[...]
# Invece di skip-networking il predefinito è ora ascoltare solo su
# localhost che è più compatibile e non è meno sicuro.
#bind-address           = 127.0.0.1
[...]

~~Poi riavviamo MySQL:~~

service mysql restart

~~Ora controlla che il networking sia abilitato. Esegui~~

netstat -tap | grep mysql

~~L’output dovrebbe apparire così:~~

root@server1:~# netstat -tap | grep mysql  
tcp        0      0 *:mysql                 *:*                     LISTEN      24603/mysqld    
root@server1:~#

7. Installare Amavisd-new, SpamAssassin e Clamav

~~Per installare amavisd-new, SpamAssassin e ClamAV, eseguiamo~~

apt-get install amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 arj nomarch lzop cabextract apt-listchanges libnet-ldap-perl libauthen-sasl-perl clamav-docs daemon libio-string-perl libio-socket-ssl-perl libnet-ident-perl zip libnet-dns-perl

~~La configurazione di ISPConfig 3 utilizza amavisd che carica internamente la libreria del filtro SpamAssassin, quindi possiamo fermare SpamAssassin per liberare un po’ di RAM:~~

service spamassassin stop   
update-rc.d -f spamassassin remove

~~Per eseguire clamav usa~~

freshclam  
service clamav-daemon start