Il Server Perfetto - Ubuntu 16.04 (Xenial Xerus) con Apache, PHP, MySQL, PureFTPD, BIND, Postfix, Dovecot e ISPConfig 3.1

Questo tutorial mostra l’installazione di un server di hosting web Ubuntu 16.04 (Xenial Xerus) con Apache2, Postfix, Dovecot, Bind e PureFTPD per prepararlo all’installazione di ISPConfig 3.1. Il sistema risultante fornirà un server Web, Mail, Mailinglist, DNS e FTP.

ISPConfig 3 è un pannello di controllo per l’hosting web che ti consente di configurare i seguenti servizi tramite un browser web: server web Apache o nginx, server di posta Postfix, server IMAP/POP3 Courier o Dovecot, MySQL, server di nomi BIND o MyDNS, PureFTPd, SpamAssassin, ClamAV e molti altri. Questa configurazione copre l’installazione di Apache (invece di Nginx), BIND (invece di MyDNS) e Dovecot (invece di Courier).

Nota: La versione ISPConfig 3.1 utilizzata in questo tutorial è attualmente in stato beta. La vecchia versione stabile ISPConfig 3.0.5p9 non può essere utilizzata su Ubuntu 16.04 poiché non è compatibile con PHP 7.

1. Nota Preliminare

In questo tutorial, utilizzo il nome host server1.example.com con l’indirizzo IP 192.168.1.100 e il gateway 192.168.1.1. Queste impostazioni potrebbero differire per te, quindi devi sostituirle dove appropriato. Prima di procedere, devi avere un’installazione minima di base di Ubuntu 16.04 come spiegato nel tutorial.

2. Modifica /etc/apt/sources.list e Aggiorna la Tua Installazione di Linux

Modifica /etc/apt/sources.list. Commenta o rimuovi il CD di installazione dal file e assicurati che i repository universe e multiverse siano abilitati. Dovrebbe apparire così dopo:

nano /etc/apt/sources.list

#  
# deb cdrom:[Ubuntu-Server 16.04 LTS _Xenial Xerus_ - Release amd64 (20160420)]/ xenial main restricted  
#deb cdrom:[Ubuntu-Server 16.04 LTS _Xenial Xerus_ - Release amd64 (20160420)]/ xenial main restricted  
# Vedi http://help.ubuntu.com/community/UpgradeNotes per come aggiornare a  
# versioni più recenti della distribuzione.  
deb http://de.archive.ubuntu.com/ubuntu/ xenial main restricted  
# deb-src http://de.archive.ubuntu.com/ubuntu/ xenial main restricted  

## Aggiornamenti di correzione di bug importanti prodotti dopo il rilascio finale della  
## distribuzione.  
deb http://de.archive.ubuntu.com/ubuntu/ xenial-updates main restricted  
# deb-src http://de.archive.ubuntu.com/ubuntu/ xenial-updates main restricted  

## N.B. il software di questo repository è COMPLETAMENTE NON SUPPORTATO dal team di Ubuntu,  
## e potrebbe non essere sotto una licenza libera. Ti preghiamo di soddisfare te stesso riguardo  
## ai tuoi diritti di utilizzare il software. Inoltre, si prega di notare che il software in  
## universe NON RICEVERÀ alcuna revisione o aggiornamenti dal team di sicurezza di Ubuntu.  
deb http://de.archive.ubuntu.com/ubuntu/ xenial universe  
# deb-src http://de.archive.ubuntu.com/ubuntu/ xenial universe  
deb http://de.archive.ubuntu.com/ubuntu/ xenial-updates universe  
# deb-src http://de.archive.ubuntu.com/ubuntu/ xenial-updates universe  

## N.B. il software di questo repository è COMPLETAMENTE NON SUPPORTATO dal team di Ubuntu,  
## e potrebbe non essere sotto una licenza libera. Ti preghiamo di soddisfare te stesso riguardo  
## ai tuoi diritti di utilizzare il software. Inoltre, si prega di notare che il software in  
## multiverse NON RICEVERÀ alcuna revisione o aggiornamenti dal team di sicurezza di Ubuntu.  
deb http://de.archive.ubuntu.com/ubuntu/ xenial multiverse  
# deb-src http://de.archive.ubuntu.com/ubuntu/ xenial multiverse  
deb http://de.archive.ubuntu.com/ubuntu/ xenial-updates multiverse  
# deb-src http://de.archive.ubuntu.com/ubuntu/ xenial-updates multiverse  

## N.B. il software di questo repository potrebbe non essere stato testato così  
## ampiamente come quello contenuto nella versione principale, anche se include  
## versioni più recenti di alcune applicazioni che potrebbero fornire funzionalità utili.  
## Inoltre, si prega di notare che il software in backports NON RICEVERÀ alcuna revisione  
## o aggiornamenti dal team di sicurezza di Ubuntu.  
deb http://de.archive.ubuntu.com/ubuntu/ xenial-backports main restricted universe multiverse  
# deb-src http://de.archive.ubuntu.com/ubuntu/ xenial-backports main restricted universe multiverse  
## Decommenta le seguenti due righe per aggiungere software dal repository  
## 'partner' di Canonical.  
## Questo software non fa parte di Ubuntu, ma è offerto da Canonical e dai  
## rispettivi fornitori come servizio agli utenti di Ubuntu.  
# deb http://archive.canonical.com/ubuntu xenial partner  
# deb-src http://archive.canonical.com/ubuntu xenial partner  
  
deb http://security.ubuntu.com/ubuntu xenial-security main restricted  
# deb-src http://security.ubuntu.com/ubuntu xenial-security main restricted  
deb http://security.ubuntu.com/ubuntu xenial-security universe  
# deb-src http://security.ubuntu.com/ubuntu xenial-security universe  
deb http://security.ubuntu.com/ubuntu xenial-security multiverse  
# deb-src http://security.ubuntu.com/ubuntu xenial-security multiverse

Poi esegui

apt-get update

per aggiornare il database dei pacchetti apt e

apt-get upgrade

per installare gli aggiornamenti più recenti (se ce ne sono). Se vedi che un nuovo kernel viene installato come parte degli aggiornamenti, dovresti riavviare il sistema dopo:

reboot

3. Cambia la Shell Predefinita

/bin/sh è un collegamento simbolico a /bin/dash, tuttavia abbiamo bisogno di /bin/bash, non di /bin/dash. Pertanto, facciamo questo:

dpkg-reconfigure dash

Usare dash come shell di sistema predefinita (/bin/sh)? <– No

Se non lo fai, l’installazione di ISPConfig fallirà.

4. Disabilita AppArmor

AppArmor è un’estensione di sicurezza (simile a SELinux) che dovrebbe fornire sicurezza avanzata. A mio avviso, non ne hai bisogno per configurare un sistema sicuro, e di solito causa più problemi che vantaggi (pensa a questo dopo aver fatto una settimana di risoluzione dei problemi perché qualche servizio non funzionava come previsto, e poi scopri che tutto era a posto, solo AppArmor stava causando il problema). Pertanto, lo disabilito (questo è un must se vuoi installare ISPConfig in seguito).

Possiamo disabilitarlo in questo modo:

service apparmor stop  
update-rc.d -f apparmor remove   
apt-get remove apparmor apparmor-utils

5. Sincronizza l’Orologio di Sistema

È una buona idea sincronizzare l’orologio di sistema con un server NTP ( n etwork t ime p rotocol) su Internet quando esegui un server fisico. Nel caso tu stia eseguendo un server virtuale, puoi saltare questo passaggio. Esegui semplicemente

apt-get -y install ntp ntpdate

e l’ora del tuo sistema sarà sempre sincronizzata.

6. Installa Postfix, Dovecot, MariaDB, rkhunter e binutils

Per installare postfix, dobbiamo assicurarci che sendmail non sia installato e in esecuzione. Per fermare e rimuovere sendmail esegui questo comando:

service sendmail stop; update-rc.d -f sendmail remove

Il messaggio di errore:

Failed to stop sendmail.service: Unit sendmail.service not loaded.

Va bene, significa solo che sendmail non era installato, quindi non c’era nulla da rimuovere.

Ora possiamo installare Postfix, Dovecot, MariaDB (come sostituto di MySQL), rkhunter e binutils con un unico comando:

apt-get install postfix postfix-mysql postfix-doc mariadb-client mariadb-server openssl getmail4 rkhunter binutils dovecot-imapd dovecot-pop3d dovecot-mysql dovecot-sieve dovecot-lmtpd sudo

Ti verranno poste le seguenti domande:

Tipo generale di configurazione della posta: <-- Internet Site  
Nome della posta di sistema: <-- server1.example.com

È importante che tu utilizzi un sottodominio come “nome della posta di sistema” come server1.example.com o server1.tuodominio.com e non un dominio che desideri utilizzare come dominio email (ad es. tuodominio.tld) in seguito.

Successivamente, apri le porte TLS/SSL e di invio in Postfix:

nano /etc/postfix/master.cf

Decommenta le sezioni di invio e smtps come segue - aggiungi la riga -o smtpd_client_restrictions=permit_sasl_authenticated,reject a entrambe le sezioni e lascia tutto il resto commentato:

[...]  
submission inet n       -       -       -       -       smtpd  
  -o syslog_name=postfix/submission  
  -o smtpd_tls_security_level=encrypt  
  -o smtpd_sasl_auth_enable=yes  
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject  
#  -o smtpd_reject_unlisted_recipient=no  
#  -o smtpd_client_restrictions=$mua_client_restrictions  
#  -o smtpd_helo_restrictions=$mua_helo_restrictions  
#  -o smtpd_sender_restrictions=$mua_sender_restrictions  
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject  
#  -o milter_macro_daemon_name=ORIGINATING  
smtps     inet  n       -       -       -       -       smtpd  
  -o syslog_name=postfix/smtps  
  -o smtpd_tls_wrappermode=yes  
  -o smtpd_sasl_auth_enable=yes  
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject  
#  -o smtpd_reject_unlisted_recipient=no  
#  -o smtpd_client_restrictions=$mua_client_restrictions  
#  -o smtpd_helo_restrictions=$mua_helo_restrictions  
#  -o smtpd_sender_restrictions=$mua_sender_restrictions  
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject  
#  -o milter_macro_daemon_name=ORIGINATING  
[...]

NOTA: Gli spazi bianchi davanti alle righe “-o …. “ sono importanti!

Riavvia Postfix dopo:

service postfix restart

Vogliamo che MySQL ascolti su tutte le interfacce, non solo su localhost. Pertanto, modifichiamo /etc/mysql/mariadb.conf.d/50-server.cnf e commentiamo la riga bind-address = 127.0.0.1:

nano /etc/mysql/mariadb.conf.d/50-server.cnf

[...]  
# Invece di skip-networking il predefinito è ora ascoltare solo su  
# localhost che è più compatibile e non è meno sicuro.  
#bind-address           = 127.0.0.1  
[...]

Ora impostiamo una password root in MariaDB. Esegui:

mysql_secure_installation

Ti verranno poste queste domande:

Inserisci la password attuale per root (premi invio per nessuna): <-- premi invio  
Impostare la password root? [Y/n] <-- y  
Nuova password: <-- Inserisci qui la nuova password root di MariaDB  
Reinserisci la nuova password: <-- Ripeti la password  
Rimuovere gli utenti anonimi? [Y/n] <-- y  
Disabilitare l'accesso remoto per root? [Y/n] <-- y  
Ricaricare ora le tabelle dei privilegi? [Y/n] <-- y

Poi riavviamo MariaDB:

service mysql restart

Ora controlla che il networking sia abilitato. Esegui

netstat -tap | grep mysql

L’output dovrebbe apparire così:

root@server1:~# netstat -tap | grep mysql  
tcp6 0 0 [::]:mysql [::]:* LISTEN 5230/mysqld  
root@server1:~#

7. Installa Amavisd-new, SpamAssassin e Clamav

Per installare amavisd-new, SpamAssassin e ClamAV, eseguiamo

apt-get install amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 arj nomarch lzop cabextract apt-listchanges libnet-ldap-perl libauthen-sasl-perl clamav-docs daemon libio-string-perl libio-socket-ssl-perl libnet-ident-perl zip libnet-dns-perl postgrey

La configurazione di ISPConfig 3 utilizza amavisd che carica internamente la libreria di filtri SpamAssassin, quindi possiamo fermare SpamAssassin per liberare un po’ di RAM:

service spamassassin stop   
update-rc.d -f spamassassin remove

Modifica il file di configurazione di clamd:

nano /etc/clamav/clamd.conf

e cambia la riga:

AllowSupplementaryGroups false

in:

AllowSupplementaryGroups true

E salva il file. Per avviare ClamAV usa:

freshclam  
service clamav-daemon start

Il seguente avviso può essere ignorato al primo avvio di freshclam poiché avviamo il demone ClamAV dopo aver aggiornato il database.

WARNING: Clamd was NOT notified: Can't connect to clamd through /var/run/clamav/clamd.ctl: No such file or directory

7.1 Installa il Server XMPP Metronome (opzionale)

Il Server XMPP Metronome fornisce un server di chat XMPP. Questo passaggio è facoltativo, se non hai bisogno di un server di chat, puoi saltare questo passaggio. Nessuna altra funzione di ISPConfig dipende da questo software.

Installa i seguenti pacchetti con apt.

apt-get install git lua5.1 liblua5.1-0-dev lua-filesystem libidn11-dev libssl-dev lua-zlib lua-expat lua-event lua-bitop lua-socket lua-sec luarocks luarocks

luarocks install lpc

Aggiungi un utente shell per Metronome.

adduser --no-create-home --disabled-login --gecos 'Metronome' metronome

Scarica Metronome nella directory /opt e compila.

cd /opt; git clone https://github.com/maranda/metronome.git metronome  
cd ./metronome; ./configure --ostype=debian --prefix=/usr  
make  
make install

Metronome è ora installato in /opt/metronome.