完璧なサーバー – CentOS 7 (Apache2, Dovecot, ISPConfig 3) - ページ 2

yum -y install dovecot dovecot-mysql dovecot-pigeonhole

touch /etc/dovecot/dovecot-sql.conf  
ln -s /etc/dovecot/dovecot-sql.conf /etc/dovecot-sql.conf

systemctl enable dovecot  
systemctl start dovecot

yum -y install postfix

systemctl enable mariadb.service  
systemctl start mariadb.service

systemctl stop sendmail.service  
systemctl disable sendmail.service  
systemctl enable postfix.service  
systemctl restart postfix.service

yum -y install getmail

mysql_secure_installation

[root@server1 tmp]# mysql_secure_installation  
  
  
NOTE: このスクリプトのすべての部分を実行することは、すべてのMariaDB  
サーバーで本番使用に推奨されます！ 各ステップを注意深くお読みください！

MariaDBを保護するためにログインするには、現在の  
rootユーザーのパスワードが必要です。MariaDBをインストールしたばかりで、  
まだrootパスワードを設定していない場合、パスワードは空白になりますので、  
ここでEnterを押してください。

Enter current password for root (enter for none):  
OK, successfully used password, moving on...

rootパスワードを設定することで、適切な認証なしに誰もMariaDBの  
rootユーザーにログインできないようにします。  
  
rootパスワードを設定しますか？ [Y/n] <-- ENTER  
新しいパスワード: <-- yourrootsqlpassword  
新しいパスワードを再入力: <-- yourrootsqlpassword  
パスワードが正常に更新されました！  
特権テーブルを再読み込み中..  
 ... 成功！  
  
デフォルトでは、MariaDBのインストールには匿名ユーザーがあり、誰でも  
ユーザーアカウントを作成せずにMariaDBにログインできます。これはテスト用にのみ  
意図されており、インストールを少しスムーズにするためのものです。  
本番環境に移行する前に、これらを削除する必要があります。  
  
匿名ユーザーを削除しますか？ [Y/n] <-- ENTER  
 ... 成功！  
  
通常、rootは「localhost」からのみ接続を許可されるべきです。  
これにより、誰かがネットワークからrootパスワードを推測できないようにします。  
  
リモートからのrootログインを禁止しますか？ [Y/n] <-- ENTER  
 ... 成功！  
  
デフォルトでは、MariaDBには誰でもアクセスできる「test」という名前のデータベースがあります。  
これもテスト用にのみ意図されており、本番環境に移行する前に削除する必要があります。  
  
testデータベースとそのアクセスを削除しますか？ [Y/n] <-- ENTER  
 - testデータベースを削除中...  
 ... 成功！  
 - testデータベースの特権を削除中...  
 ... 成功！  
  
特権テーブルを再読み込みすると、これまでに行ったすべての変更が  
すぐに有効になります。  
  
特権テーブルを今すぐ再読み込みしますか？ [Y/n] <-- ENTER  
 ... 成功！  
  
クリーンアップ中...  
  
すべて完了！上記のすべてのステップを完了した場合、MariaDBの  
インストールは今や安全であるはずです。  
  
MariaDBをご利用いただきありがとうございます！  
  
[root@server1 tmp]#

nano /etc/httpd/conf.d/phpMyAdmin.conf

# phpMyAdmin - phpで書かれたWebベースのMySQLブラウザ
#
# デフォルトではlocalhostのみを許可
#
# しかし、phpMyAdminをlocalhost以外の誰にでも許可することは、
# SSLで適切に保護されていない限り危険と見なされるべきです

Alias /phpMyAdmin /usr/share/phpMyAdmin
Alias /phpmyadmin /usr/share/phpMyAdmin


   
     # Apache 2.4
     
     #  Require ip 127.0.0.1
     #  Require ip ::1  
        Require all granted
     
   
   
     # Apache 2.2
     Order Deny,Allow
     Deny from All
     Allow from 127.0.0.1
     Allow from ::1
   

            

nano /etc/phpMyAdmin/config.inc.php

[...]
/* 認証タイプ */
$cfg['Servers'][$i]['auth_type'] = 'http';
[...]

systemctl enable  httpd.service  
systemctl restart  httpd.service

yum -y install amavisd-new spamassassin clamav clamd clamav-update unzip bzip2 unrar perl-DBD-mysql

nano /etc/freshclam.conf

[....]  
# Example  
[....]

sa-update  
freshclam   
systemctl enable amavisd.service

yum -y install php php-devel php-gd php-imap php-ldap php-mysql php-odbc php-pear php-xml php-xmlrpc php-pecl-apc php-mbstring php-mcrypt php-mssql php-snmp php-soap php-tidy curl curl-devel perl-libwww-perl ImageMagick libxml2 libxml2-devel mod_fcgid php-cli httpd-devel php-fpm

nano /etc/php.ini

[...]
;error_reporting = E_ALL & ~E_DEPRECATED
error_reporting = E_ALL & ~E_NOTICE & ~E_DEPRECATED
[...]
; cgi.fix_pathinfoはCGIのための*実際の* PATH_INFO/PATH_TRANSLATEDサポートを提供します。PHPの
;以前の動作は、PATH_TRANSLATEDをSCRIPT_FILENAMEに設定し、
;PATH_INFOが何であるかを理解しませんでした。PAppp.tldTH_INFOの詳細については、cgi仕様を参照してください。これを1に設定すると、PHP CGIがそのパスを仕様に合わせて修正します。0の設定は、PHPが以前のように動作することを意味します。デフォルトは1です。スクリプトを修正して、PATH_TRANSLATEDではなくSCRIPT_FILENAMEを使用する必要があります。
; http://www.php.net/manual/en/ini.core.php#ini.cgi.fix-pathinfo
cgi.fix_pathinfo=1  
[...]  
date.timezone = 'Europe/Berlin'
[...]

cd /usr/local/src  
wget http://suphp.org/download/suphp-0.7.2.tar.gz  
tar zxvf suphp-0.7.2.tar.gz

wget -O suphp.patch https://lists.marsching.com/pipermail/suphp/attachments/20130520/74f3ac02/attachment.patch  
patch -Np1 -d suphp-0.7.2 < suphp.patch  
cd suphp-0.7.2  
autoreconf -if

./configure --prefix=/usr/ --sysconfdir=/etc/ --with-apr=/usr/bin/apr-1-config --with-apache-user=apache --with-setid-mode=owner --with-logfile=/var/log/httpd/suphp_log  
make  
make install

nano /etc/httpd/conf.d/suphp.conf

LoadModule suphp_module modules/mod_suphp.so

nano /etc/suphp.conf

[global]
;ログファイルへのパス
logfile=/var/log/httpd/suphp.log
;ログレベル
loglevel=info
;Apacheが実行しているユーザー
webserver_user=apache
;すべてのスクリプトが存在する必要があるパス
docroot=/
;スクリプトを実行する前にchroot()するパス
;chroot=/mychroot
; セキュリティオプション
allow_file_group_writeable=true
allow_file_others_writeable=false
allow_directory_group_writeable=true
allow_directory_others_writeable=false
;DOCUMENT_ROOT内にスクリプトがあるかどうかをチェック
check_vhost_docroot=true
;ブラウザに小さなエラーメッセージを送信
errors_to_browser=false
;PATH環境変数
env_path=/bin:/usr/bin
;設定するumask、8進数で指定
umask=0077
; 最小UID
min_uid=100
; 最小GID
min_gid=100

[handlers]
;phpスクリプト用のハンドラー
x-httpd-suphp="php:/usr/bin/php-cgi"
;CGIスクリプト用のハンドラー
x-suphp-cgi="execute:!self"

nano /etc/httpd/conf.d/php.conf

  
SetHandler application/x-httpd-php  

  
  
SetHandler application/x-httpd-php  
  

systemctl start php-fpm.service  
systemctl enable php-fpm.service  
systemctl enable httpd.service

systemctl restart httpd.service

yum -y install python-devel

cd /usr/local/src/  
wget http://dist.modpython.org/dist/mod_python-3.5.0.tgz  
tar xfz mod_python-3.5.0.tgz  
cd mod_python-3.5.0

./configure  
make  
make install

echo 'LoadModule python_module modules/mod_python.so' > /etc/httpd/conf.modules.d/10-python.conf  
systemctl restart httpd.service 

yum -y install pure-ftpd

systemctl enable pure-ftpd.service  
systemctl start pure-ftpd.service

yum install openssl

vi /etc/pure-ftpd/pure-ftpd.conf

[...]
# このオプションは3つの値を受け入れることができます:
# 0 : SSL/TLS暗号化レイヤーを無効にします（デフォルト）。
# 1 : 従来のセッションと暗号化されたセッションの両方を受け入れます。
# 2 : SSL/TLSセキュリティメカニズムを使用しない接続を拒否します。
#     匿名セッションを含む。
# このコメントを盲目的に外さないでください。次のことを確認してください:
# 1) サーバーがSSL/TLSサポートでコンパイルされていること（--with-tls）
# 2) 有効な証明書があること
# 3) 互換性のあるクライアントのみがログインします。

TLS                      1
[...]

mkdir -p /etc/ssl/private/

openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

chmod 600 /etc/ssl/private/pure-ftpd.pem

systemctl restart pure-ftpd.service

yum -y install bind bind-utils

cp /etc/named.conf /etc/named.conf_bak  
cat /dev/null > /etc/named.conf  
nano /etc/named.conf

// named.conf
//
// Red Hat bindパッケージによって提供され、ISC BIND named(8) DNS
// サーバーをキャッシュ専用のネームサーバー（localhost DNSリゾルバーのみ）として構成します。
//
// 例のnamed設定ファイルについては/usr/share/doc/bind*/sample/を参照してください。
//
options {
        listen-on port 53 { any; };
        listen-on-v6 port 53 { any; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { any; };
                allow-recursion {"none";};
        recursion no;
};
logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};
zone "." IN {
        type hint;
        file "named.ca";
};
include "/etc/named.conf.local";

touch /etc/named.conf.local

systemctl enable named.service  
systemctl start named.service

yum -y install webalizer awstats perl-DateTime-Format-HTTP perl-DateTime-Format-Builder

cd /tmp  
wget http://olivier.sessink.nl/jailkit/jailkit-2.17.tar.gz  
tar xvfz jailkit-2.17.tar.gz  
cd jailkit-2.17  
./configure  
make  
make install  
cd ..  
rm -rf jailkit-2.17*

yum -y install fail2ban

systemctl enable fail2ban.service  
systemctl start fail2ban.service

yum -y install rkhunter

yum -y install mailman

touch /var/lib/mailman/data/aliases  
/usr/lib/mailman/bin/newlist mailman

vi /etc/aliases

[...]
mailman:              "|/usr/lib/mailman/mail/mailman post mailman"
mailman-admin:        "|/usr/lib/mailman/mail/mailman admin mailman"
mailman-bounces:      "|/usr/lib/mailman/mail/mailman bounces mailman"
mailman-confirm:      "|/usr/lib/mailman/mail/mailman confirm mailman"
mailman-join:         "|/usr/lib/mailman/mail/mailman join mailman"
mailman-leave:        "|/usr/lib/mailman/mail/mailman leave mailman"
mailman-owner:        "|/usr/lib/mailman/mail/mailman owner mailman"
mailman-request:      "|/usr/lib/mailman/mail/mailman request mailman"
mailman-subscribe:    "|/usr/lib/mailman/mail/mailman subscribe mailman"
mailman-unsubscribe:  "|/usr/lib/mailman/mail/mailman unsubscribe mailman"

newaliases

systemctl restart postfix.service

nano /etc/httpd/conf.d/mailman.conf

#
#  httpdの設定はmailmanで使用するためのものです。
#
ScriptAlias /mailman/ /usr/lib/mailman/cgi-bin/
ScriptAlias /cgi-bin/mailman/ /usr/lib/mailman/cgi-bin/

    AllowOverride None
    Options ExecCGI
    Order allow,deny
    Allow from all


#Alias /pipermail/ /var/lib/mailman/archives/public/
Alias /pipermail /var/lib/mailman/archives/public/

    Options Indexes MultiViews FollowSymLinks
    AllowOverride None
    Order allow,deny
    Allow from all
    AddDefaultCharset Off


# 次の行のコメントを外すと、/mailmanへのクエリを
# listinfoページにリダイレクトします（推奨）。

# RedirectMatch ^/mailman[/]*$ /mailman/listinfo

systemctl restart httpd.service

systemctl enable mailman.service  
systemctl start mailman.service