완벽한 서버 – CentOS 7 (Apache2, Dovecot, ISPConfig 3) - 페이지 2

yum -y install dovecot dovecot-mysql dovecot-pigeonhole

touch /etc/dovecot/dovecot-sql.conf  
ln -s /etc/dovecot/dovecot-sql.conf /etc/dovecot-sql.conf

systemctl enable dovecot  
systemctl start dovecot

yum -y install postfix

systemctl enable mariadb.service  
systemctl start mariadb.service

systemctl stop sendmail.service  
systemctl disable sendmail.service  
systemctl enable postfix.service  
systemctl restart postfix.service

yum -y install getmail

mysql_secure_installation

[root@server1 tmp]# mysql_secure_installation  
  
  NOTE: RUNNING ALL PARTS OF THIS SCRIPT IS RECOMMENDED FOR ALL MariaDB  
  SERVERS IN PRODUCTION USE! PLEASE READ EACH STEP CAREFULLY!

MariaDB에 로그인하여 보안을 설정하려면 현재  
루트 사용자에 대한 비밀번호가 필요합니다. MariaDB를 방금 설치했으며  
루트 비밀번호를 아직 설정하지 않았다면 비밀번호는 비어 있으므로  
여기서 그냥 Enter를 누르십시오.

Enter current password for root (enter for none):  
OK, successfully used password, moving on...

루트 비밀번호를 설정하면 적절한 권한 없이 누구도 MariaDB  
루트 사용자로 로그인할 수 없도록 보장합니다.  
  
루트 비밀번호를 설정하시겠습니까? [Y/n] <-- ENTER  
새 비밀번호: <-- yourrootsqlpassword  
새 비밀번호를 다시 입력하세요: <-- yourrootsqlpassword  
비밀번호가 성공적으로 업데이트되었습니다!  
권한 테이블을 다시 로드하는 중..  
 ... 성공!  
  
기본적으로 MariaDB 설치에는 익명 사용자가 있어 누구나  
사용자 계정을 생성하지 않고도 MariaDB에 로그인할 수 있습니다. 이는  
테스트 용도로만 의도되며 설치를 좀 더 원활하게 진행하기 위한 것입니다.  
생산 환경으로 이동하기 전에 이를 제거해야 합니다.  
  
익명 사용자를 제거하시겠습니까? [Y/n] <-- ENTER  
 ... 성공!  
  
일반적으로 루트는 'localhost'에서만 연결할 수 있어야 합니다.  
이는 누군가가 네트워크에서 루트 비밀번호를 추측할 수 없도록 보장합니다.  
  
원격으로 루트 로그인을 금지하시겠습니까? [Y/n] <-- ENTER  
 ... 성공!  
  
기본적으로 MariaDB에는 누구나 접근할 수 있는 'test'라는 데이터베이스가 있습니다.  
이는 테스트 용도로만 의도되며 생산 환경으로 이동하기 전에 제거해야 합니다.  
  
테스트 데이터베이스 및 접근 권한을 제거하시겠습니까? [Y/n] <-- ENTER  
- 테스트 데이터베이스 삭제 중...  
 ... 성공!  
- 테스트 데이터베이스에 대한 권한 제거 중...  
 ... 성공!  
  
권한 테이블을 다시 로드하면 지금까지 수행된 모든 변경 사항이  
즉시 적용됩니다.  
  
권한 테이블을 지금 다시 로드하시겠습니까? [Y/n] <-- ENTER  
 ... 성공!  
  
정리 중...  
  
모든 작업이 완료되었습니다! 위의 모든 단계를 완료했다면  
당신의 MariaDB 설치는 이제 안전해야 합니다.  
  
MariaDB를 사용해 주셔서 감사합니다!  
  
[root@server1 tmp]#

nano /etc/httpd/conf.d/phpMyAdmin.conf

# phpMyAdmin - Web based MySQL browser written in php
#
# Allows only localhost by default
#
# But allowing phpMyAdmin to anyone other than localhost should be considered
# dangerous unless properly secured by SSL

Alias /phpMyAdmin /usr/share/phpMyAdmin
Alias /phpmyadmin /usr/share/phpMyAdmin


   
     # Apache 2.4
     
     #  Require ip 127.0.0.1
     #  Require ip ::1  
        Require all granted
     
   
   
     # Apache 2.2
     Order Deny,Allow
     Deny from All
     Allow from 127.0.0.1
     Allow from ::1
   

            

nano /etc/phpMyAdmin/config.inc.php

[...]
/* Authentication type */
$cfg['Servers'][$i]['auth_type'] = 'http';
[...]

systemctl enable  httpd.service  
systemctl restart  httpd.service

yum -y install amavisd-new spamassassin clamav clamd clamav-update unzip bzip2 unrar perl-DBD-mysql

[....]  
# Example  
[....]

sa-update  
freshclam   
systemctl enable amavisd.service

yum -y install php php-devel php-gd php-imap php-ldap php-mysql php-odbc php-pear php-xml php-xmlrpc php-pecl-apc php-mbstring php-mcrypt php-mssql php-snmp php-soap php-tidy curl curl-devel perl-libwww-perl ImageMagick libxml2 libxml2-devel mod_fcgid php-cli httpd-devel php-fpm

nano /etc/php.ini

[...]
;error_reporting = E_ALL & ~E_DEPRECATED
error_reporting = E_ALL & ~E_NOTICE & ~E_DEPRECATED
[...]
; cgi.fix_pathinfo는 CGI에 대한 *실제* PATH_INFO/PATH_TRANSLATED 지원을 제공합니다. PHP의
; 이전 동작은 PATH_TRANSLATED를 SCRIPT_FILENAME으로 설정하고 PATH_INFO가 무엇인지 이해하지 못하는 것이었습니다.  
; PAppp.tldTH_INFO에 대한 자세한 내용은 cgi 사양을 참조하십시오.  
; 이를 1로 설정하면 PHP CGI가 경로를 사양에 맞게 수정합니다.  
; 0으로 설정하면 PHP가 이전과 같이 동작합니다. 기본값은 1입니다.  
; 스크립트가 SCRIPT_FILENAME을 사용하도록 수정해야 합니다.
; http://www.php.net/manual/en/ini.core.php#ini.cgi.fix-pathinfo
cgi.fix_pathinfo=1  
[...]  
date.timezone = 'Europe/Berlin'
[...]

cd /usr/local/src  
wget http://suphp.org/download/suphp-0.7.2.tar.gz  
tar zxvf suphp-0.7.2.tar.gz

wget -O suphp.patch https://lists.marsching.com/pipermail/suphp/attachments/20130520/74f3ac02/attachment.patch  
patch -Np1 -d suphp-0.7.2 < suphp.patch  
cd suphp-0.7.2  
autoreconf -if

./configure --prefix=/usr/ --sysconfdir=/etc/ --with-apr=/usr/bin/apr-1-config --with-apache-user=apache --with-setid-mode=owner --with-logfile=/var/log/httpd/suphp_log  
make  
make install

nano /etc/httpd/conf.d/suphp.conf

LoadModule suphp_module modules/mod_suphp.so

nano /etc/suphp.conf

[global]
;로그 파일 경로
logfile=/var/log/httpd/suphp.log
;로그 수준
loglevel=info
;Apache가 실행되는 사용자
webserver_user=apache
;모든 스크립트가 있어야 하는 경로
docroot=/
;스크립트를 실행하기 전에 chroot()할 경로
;chroot=/mychroot
; 보안 옵션
allow_file_group_writeable=true
allow_file_others_writeable=false
allow_directory_group_writeable=true
allow_directory_others_writeable=false
;DOCUMENT_ROOT 내에서 스크립트가 있는지 확인
check_vhost_docroot=true
;브라우저에 경미한 오류 메시지 전송
errors_to_browser=false
;PATH 환경 변수
env_path=/bin:/usr/bin
;설정할 umask, 8진수 표기법으로 지정
umask=0077
; 최소 UID
min_uid=100
; 최소 GID
min_gid=100

[handlers]
;php 스크립트에 대한 핸들러
x-httpd-suphp="php:/usr/bin/php-cgi"
;CGI 스크립트에 대한 핸들러
x-suphp-cgi="execute:!self"

nano /etc/httpd/conf.d/php.conf

  
SetHandler application/x-httpd-php  

  
  
SetHandler application/x-httpd-php  
  

systemctl start php-fpm.service  
systemctl enable php-fpm.service  
systemctl enable httpd.service

systemctl restart httpd.service

yum -y install python-devel

cd /usr/local/src/  
wget http://dist.modpython.org/dist/mod_python-3.5.0.tgz  
tar xfz mod_python-3.5.0.tgz  
cd mod_python-3.5.0

./configure  
make  
make install

echo 'LoadModule python_module modules/mod_python.so' > /etc/httpd/conf.modules.d/10-python.conf  
systemctl restart httpd.service 

yum -y install pure-ftpd

systemctl enable pure-ftpd.service  
systemctl start pure-ftpd.service

yum install openssl

vi /etc/pure-ftpd/pure-ftpd.conf

[...]
# 이 옵션은 세 가지 값을 수용할 수 있습니다:
# 0 : SSL/TLS 암호화 레이어 비활성화 (기본값).
# 1 : 전통적인 세션과 암호화된 세션 모두 수용.
# 2 : SSL/TLS 보안 메커니즘을 사용하지 않는 연결을 거부,
#     익명 세션 포함.
# 이 옵션을 맹목적으로 주석 해제하지 마십시오. 다음을 확인하십시오:
# 1) 서버가 SSL/TLS 지원으로 컴파일되었는지 (--with-tls),
# 2) 유효한 인증서가 있는지,
# 3) 호환 가능한 클라이언트만 로그인할 수 있습니다.

TLS                      1
[...]

mkdir -p /etc/ssl/private/

openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

chmod 600 /etc/ssl/private/pure-ftpd.pem

systemctl restart pure-ftpd.service

yum -y install bind bind-utils

cp /etc/named.conf /etc/named.conf_bak  
cat /dev/null > /etc/named.conf  
nano /etc/named.conf

// named.conf
// Red Hat bind 패키지에서 제공하여 ISC BIND named(8) DNS
// 서버를 캐싱 전용 이름 서버로 구성합니다 (로컬 DNS 해 resolver 전용).
// 예제 named 구성 파일은 /usr/share/doc/bind*/sample/에서 확인하십시오.
options {
        listen-on port 53 { any; };
        listen-on-v6 port 53 { any; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { any; };
            allow-recursion {"none";};
        recursion no;
};
logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};
zone "." IN {
        type hint;
        file "named.ca";
};
include "/etc/named.conf.local";

touch /etc/named.conf.local

systemctl enable named.service  
systemctl start named.service

yum -y install webalizer awstats perl-DateTime-Format-HTTP perl-DateTime-Format-Builder

cd /tmp  
wget http://olivier.sessink.nl/jailkit/jailkit-2.17.tar.gz  
tar xvfz jailkit-2.17.tar.gz  
cd jailkit-2.17  
./configure  
make  
make install  
cd ..  
rm -rf jailkit-2.17*

yum -y install fail2ban

systemctl enable fail2ban.service  
systemctl start fail2ban.service

yum -y install rkhunter

yum -y install mailman

touch /var/lib/mailman/data/aliases  
/usr/lib/mailman/bin/newlist mailman

vi /etc/aliases

[...]
mailman:              "|/usr/lib/mailman/mail/mailman post mailman"
mailman-admin:        "|/usr/lib/mailman/mail/mailman admin mailman"
mailman-bounces:      "|/usr/lib/mailman/mail/mailman bounces mailman"
mailman-confirm:      "|/usr/lib/mailman/mail/mailman confirm mailman"
mailman-join:         "|/usr/lib/mailman/mail/mailman join mailman"
mailman-leave:        "|/usr/lib/mailman/mail/mailman leave mailman"
mailman-owner:        "|/usr/lib/mailman/mail/mailman owner mailman"
mailman-request:      "|/usr/lib/mailman/mail/mailman request mailman"
mailman-subscribe:    "|/usr/lib/mailman/mail/mailman subscribe mailman"
mailman-unsubscribe:  "|/usr/lib/mailman/mail/mailman unsubscribe mailman"

newaliases

systemctl restart postfix.service

nano /etc/httpd/conf.d/mailman.conf

#  
#  httpd 구성 설정은 mailman과 함께 사용됩니다.
#  
ScriptAlias /mailman/ /usr/lib/mailman/cgi-bin/
ScriptAlias /cgi-bin/mailman/ /usr/lib/mailman/cgi-bin/

    AllowOverride None
    Options ExecCGI
    Order allow,deny
    Allow from all


#Alias /pipermail/ /var/lib/mailman/archives/public/
Alias /pipermail /var/lib/mailman/archives/public/

    Options Indexes MultiViews FollowSymLinks
    AllowOverride None
    Order allow,deny
    Allow from all
    AddDefaultCharset Off


# 다음 줄의 주석을 제거하여 /mailman에 대한 쿼리를
# listinfo 페이지로 리디렉션합니다 (권장).

# RedirectMatch ^/mailman[/]*$ /mailman/listinfo

systemctl restart httpd.service

systemctl enable mailman.service  
systemctl start mailman.service