O Servidor Perfeito – CentOS 7 (Apache2, Dovecot, ISPConfig 3) - Página 2

yum -y install dovecot dovecot-mysql dovecot-pigeonhole

touch /etc/dovecot/dovecot-sql.conf  
ln -s /etc/dovecot/dovecot-sql.conf /etc/dovecot-sql.conf

systemctl enable dovecot  
systemctl start dovecot

yum -y install postfix

systemctl enable mariadb.service  
systemctl start mariadb.service

systemctl stop sendmail.service  
systemctl disable sendmail.service  
systemctl enable postfix.service  
systemctl restart postfix.service

yum -y install getmail

mysql_secure_installation

[root@server1 tmp]# mysql_secure_installation  
  
  
NOTA: EXECUTAR TODAS AS PARTES DESTE SCRIPT É RECOMENDADO PARA TODOS OS SERVIDORES MariaDB  
EM USO EM PRODUÇÃO! POR FAVOR, LEIA CADA ETAPA CUIDADOSAMENTE!

Para fazer login no MariaDB e protegê-lo, precisaremos da senha atual  
para o usuário root. Se você acabou de instalar o MariaDB, e  
você ainda não definiu a senha root, a senha estará em branco,  
portanto você deve apenas pressionar enter aqui.

Digite a senha atual para root (pressione enter para nenhuma):  
OK, senha usada com sucesso, prosseguindo...

Definir a senha root garante que ninguém possa fazer login no MariaDB  
usuário root sem a devida autorização.  
  
Definir senha root? [Y/n] <-- ENTER  
Nova senha: <-- sua senha root do sql  
Reinsira a nova senha: <-- sua senha root do sql  
Senha atualizada com sucesso!  
Recarregando tabelas de privilégios..  
 ... Sucesso!  
  
  
Por padrão, uma instalação do MariaDB tem um usuário anônimo, permitindo que qualquer um  
faça login no MariaDB sem precisar ter uma conta de usuário criada para  
elas. Isso é destinado apenas para testes, e para tornar a instalação  
mais suave. Você deve removê-los antes de entrar em um  
environmento de produção.  
  
Remover usuários anônimos? [Y/n] <-- ENTER  
 ... Sucesso!  
  
Normalmente, root  deve  ser  permitido  apenas  conectar  de  'localhost'.  Isso  
garante que alguém não possa adivinhar a senha root a partir da  
rede.  
  
Desabilitar login root remotamente? [Y/n] <-- ENTER  
 ... Sucesso!  
  
Por padrão, o MariaDB vem com um banco de dados chamado 'teste' que qualquer um pode  
acessar. Isso também é destinado apenas para testes, e deve ser removido  
antes de entrar em um ambiente de produção.  
  
Remover banco de dados de teste e acesso a ele? [Y/n] <-- ENTER  
 - Removendo banco de dados de teste...  
 ... Sucesso!  
 - Removendo privilégios no banco de dados de teste...  
 ... Sucesso!  
  
Recarregar as tabelas de privilégios garantirá que todas as  
alterações feitas até agora  
terão efeito imediatamente.  
  
Recarregar tabelas de privilégios agora? [Y/n] <-- ENTER  
 ... Sucesso!  
  
Limpando...  
  
  
Tudo pronto! Se você completou todas as etapas acima, sua instalação do MariaDB  
agora deve estar segura.  
  
Obrigado por usar MariaDB!  
  
[root@server1 tmp]#

nano /etc/httpd/conf.d/phpMyAdmin.conf

# phpMyAdmin - Navegador MySQL baseado na web escrito em php
#
# Permite apenas localhost por padrão
#
# Mas permitir phpMyAdmin para qualquer um além de localhost deve ser considerado
# perigoso, a menos que devidamente protegido por SSL

Alias /phpMyAdmin /usr/share/phpMyAdmin
Alias /phpmyadmin /usr/share/phpMyAdmin


   
     # Apache 2.4
     
     #  Require ip 127.0.0.1
     #  Require ip ::1  
        Require all granted
     
   
   
     # Apache 2.2
     Order Deny,Allow
     Deny from All
     Allow from 127.0.0.1
     Allow from ::1
   

            

nano /etc/phpMyAdmin/config.inc.php

[...]
/* Tipo de autenticação */
$cfg['Servers'][$i]['auth_type'] = 'http';
[...]

systemctl enable  httpd.service  
systemctl restart  httpd.service

yum -y install amavisd-new spamassassin clamav clamd clamav-update unzip bzip2 unrar perl-DBD-mysql

nano /etc/freshclam.conf

[....]  
# Exemplo  
[....]

sa-update  
freshclam   
systemctl enable amavisd.service

yum -y install php php-devel php-gd php-imap php-ldap php-mysql php-odbc php-pear php-xml php-xmlrpc php-pecl-apc php-mbstring php-mcrypt php-mssql php-snmp php-soap php-tidy curl curl-devel perl-libwww-perl ImageMagick libxml2 libxml2-devel mod_fcgid php-cli httpd-devel php-fpm

nano /etc/php.ini

[...]
;error_reporting = E_ALL & ~E_DEPRECATED
error_reporting = E_ALL & ~E_NOTICE & ~E_DEPRECATED
[...]
; cgi.fix_pathinfo fornece suporte *real* para PATH_INFO/PATH_TRANSLATED para CGI.  O comportamento anterior do PHP era definir PATH_TRANSLATED como SCRIPT_FILENAME, e não entender o que é PATH_INFO.  Para mais informações sobre PATH_INFO, consulte as especificações cgi.  Definir isso como 1 fará com que o PHP CGI corrija seus caminhos para se conformar à especificação.  Um valor de zero faz com que o PHP se comporte como antes.  O padrão é 1.  Você deve corrigir seus scripts para usar SCRIPT_FILENAME em vez de PATH_TRANSLATED.
; http://www.php.net/manual/en/ini.core.php#ini.cgi.fix-pathinfo
cgi.fix_pathinfo=1  
[...]  
date.timezone = 'Europe/Berlin'
[...]

cd /usr/local/src  
wget http://suphp.org/download/suphp-0.7.2.tar.gz  
tar zxvf suphp-0.7.2.tar.gz

wget -O suphp.patch https://lists.marsching.com/pipermail/suphp/attachments/20130520/74f3ac02/attachment.patch  
patch -Np1 -d suphp-0.7.2 < suphp.patch  
cd suphp-0.7.2  
autoreconf -if

./configure --prefix=/usr/ --sysconfdir=/etc/ --with-apr=/usr/bin/apr-1-config --with-apache-user=apache --with-setid-mode=owner --with-logfile=/var/log/httpd/suphp_log  
make  
make install

nano /etc/httpd/conf.d/suphp.conf

LoadModule suphp_module modules/mod_suphp.so

nano /etc/suphp.conf

[global]
;Caminho para o arquivo de log
logfile=/var/log/httpd/suphp.log
;Nível de log
loglevel=info
;Usuário que o Apache está executando
webserver_user=apache
;Caminho onde todos os scripts devem estar
docroot=/
;Caminho para chroot() antes de executar o script
;chroot=/mychroot
; Opções de segurança
allow_file_group_writeable=true
allow_file_others_writeable=false
allow_directory_group_writeable=true
allow_directory_others_writeable=false
;Verificar se o script está dentro do DOCUMENT_ROOT
check_vhost_docroot=true
;Enviar mensagens de erro menores para o navegador
errors_to_browser=false
;Variável de ambiente PATH
env_path=/bin:/usr/bin
;Umask a ser definida, especificar em notação octal
umask=0077
; UID mínimo
min_uid=100
; GID mínimo
min_gid=100

[handlers]
;Manipulador para scripts php
x-httpd-suphp="php:/usr/bin/php-cgi"
;Manipulador para scripts CGI
x-suphp-cgi="execute:!self"

nano /etc/httpd/conf.d/php.conf

  
SetHandler application/x-httpd-php  

  
  
SetHandler application/x-httpd-php  
  

systemctl start php-fpm.service  
systemctl enable php-fpm.service  
systemctl enable httpd.service

systemctl restart httpd.service

yum -y install python-devel

cd /usr/local/src/  
wget http://dist.modpython.org/dist/mod_python-3.5.0.tgz  
tar xfz mod_python-3.5.0.tgz  
cd mod_python-3.5.0

./configure  
make  
make install

echo 'LoadModule python_module modules/mod_python.so' > /etc/httpd/conf.modules.d/10-python.conf  
systemctl restart httpd.service 

yum -y install pure-ftpd

systemctl enable pure-ftpd.service  
systemctl start pure-ftpd.service

yum install openssl

vi /etc/pure-ftpd/pure-ftpd.conf

[...]
# Esta opção pode aceitar três valores :
# 0 : desabilitar a camada de criptografia SSL/TLS (padrão).
# 1 : aceitar tanto sessões tradicionais quanto criptografadas.
# 2 : recusar conexões que não utilizem mecanismos de segurança SSL/TLS,
#     incluindo sessões anônimas.
# Não descomente isso cegamente. Certifique-se de que :
# 1) Seu servidor foi compilado com suporte a SSL/TLS (--with-tls),
# 2) Um certificado válido está em vigor,
# 3) Apenas clientes compatíveis farão login.

TLS                      1
[...]

mkdir -p /etc/ssl/private/

openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

chmod 600 /etc/ssl/private/pure-ftpd.pem

systemctl restart pure-ftpd.service

yum -y install bind bind-utils

cp /etc/named.conf /etc/named.conf_bak  
cat /dev/null > /etc/named.conf  
nano /etc/named.conf

// named.conf\
//\
// Fornecido pelo pacote bind do Red Hat para configurar o ISC BIND named(8) DNS\
// servidor como um servidor de nomes apenas em cache (como um resolvedor DNS localhost apenas).\
//\
// Veja /usr/share/doc/bind*/sample/ para arquivos de configuração nomeados de exemplo.\
//\
options {\
        listen-on port 53 { any; };\
        listen-on-v6 port 53 { any; };\
        directory       "/var/named";\
        dump-file       "/var/named/data/cache_dump.db";\
        statistics-file "/var/named/data/named_stats.txt";\
        memstatistics-file "/var/named/data/named_mem_stats.txt";\
        allow-query     { any; };\
                allow-recursion {"none";};\
        recursion no;\
};\
logging {\
        channel default_debug {\
                file "data/named.run";\
                severity dynamic;\
        };\
};\
zone "." IN {\
        type hint;\
        file "named.ca";\
};\
include "/etc/named.conf.local";

touch /etc/named.conf.local

systemctl enable named.service  
systemctl start named.service

yum -y install webalizer awstats perl-DateTime-Format-HTTP perl-DateTime-Format-Builder

cd /tmp  
wget http://olivier.sessink.nl/jailkit/jailkit-2.17.tar.gz  
tar xvfz jailkit-2.17.tar.gz  
cd jailkit-2.17  
./configure  
make  
make install  
cd ..  
rm -rf jailkit-2.17*

yum -y install fail2ban

systemctl enable fail2ban.service  
systemctl start fail2ban.service

yum -y install rkhunter

yum -y install mailman

touch /var/lib/mailman/data/aliases  
/usr/lib/mailman/bin/newlist mailman

vi /etc/aliases

[...]
mailman:              "|/usr/lib/mailman/mail/mailman post mailman"
mailman-admin:        "|/usr/lib/mailman/mail/mailman admin mailman"
mailman-bounces:      "|/usr/lib/mailman/mail/mailman bounces mailman"
mailman-confirm:      "|/usr/lib/mailman/mail/mailman confirm mailman"
mailman-join:         "|/usr/lib/mailman/mail/mailman join mailman"
mailman-leave:        "|/usr/lib/mailman/mail/mailman leave mailman"
mailman-owner:        "|/usr/lib/mailman/mail/mailman owner mailman"
mailman-request:      "|/usr/lib/mailman/mail/mailman request mailman"
mailman-subscribe:    "|/usr/lib/mailman/mail/mailman subscribe mailman"
mailman-unsubscribe:  "|/usr/lib/mailman/mail/mailman unsubscribe mailman"

newaliases

systemctl restart postfix.service

nano /etc/httpd/conf.d/mailman.conf

#  
#  configurações de configuração httpd para uso com mailman.  
#  
ScriptAlias /mailman/ /usr/lib/mailman/cgi-bin/
ScriptAlias /cgi-bin/mailman/ /usr/lib/mailman/cgi-bin/

    AllowOverride None
    Options ExecCGI
    Order allow,deny
    Allow from all



#Alias /pipermail/ /var/lib/mailman/archives/public/
Alias /pipermail /var/lib/mailman/archives/public/

    Options Indexes MultiViews FollowSymLinks
    AllowOverride None
    Order allow,deny
    Allow from all
    AddDefaultCharset Off


# Descomente a linha a seguir, para redirecionar consultas para /mailman para a
# página listinfo (recomendado).

# RedirectMatch ^/mailman[/]*$ /mailman/listinfo

systemctl restart httpd.service

systemctl enable mailman.service  
systemctl start mailman.service