Configuración inicial de un servidor CentOS 7

• Introducción
• Prerrequisitos
• Paso 1: crear una cuenta de usuario estándar
• Paso 2: No permitir el inicio de sesión raíz y la autenticación de contraseña
• Paso 3: configurar la zona horaria
• Paso 4: habilite el firewall de IPTables
• Paso 5: Permitir tráfico adicional a través del firewall

Introducción

Un servidor CentOS 7 recientemente activado debe personalizarse antes de que pueda utilizarse como sistema de producción. En este artículo, las personalizaciones más importantes que tendrá que hacer se dan de una manera fácil de entender.

Prerrequisitos

Un servidor CentOS 7 recientemente activado, preferiblemente configurado con claves SSH. Inicie sesión en el servidor como root.

ssh -l root server-ip-address

Paso 1: crear una cuenta de usuario estándar

Por razones de seguridad, no es aconsejable realizar tareas informáticas diarias con la cuenta raíz. En cambio, se recomienda crear una cuenta de usuario estándar que se utilizará sudopara obtener privilegios administrativos. Para este tutorial, suponga que estamos creando un usuario llamado joe . Para crear la cuenta de usuario, escriba:

adduser joe

Establezca una contraseña para el nuevo usuario. Se le pedirá que ingrese y confirme una contraseña.

passwd joe

Agregue el nuevo usuario al grupo de rueda para que pueda asumir privilegios de root usando sudo.

gpasswd -a joe wheel

Finalmente, abra otra terminal en su máquina local y use el siguiente comando para agregar su clave SSH al directorio de inicio del nuevo usuario en el servidor remoto. Se le pedirá que se autentique antes de instalar la clave SSH.

ssh-copy-id joe@server-ip-address

Después de instalar la clave, inicie sesión en el servidor con la nueva cuenta de usuario.

ssh -l joe server-ip-address

Si el inicio de sesión es exitoso, puede cerrar la otra terminal. De ahora en adelante, todos los comandos irán precedidos de sudo.

Paso 2: No permitir el inicio de sesión raíz y la autenticación de contraseña

Dado que ahora puede iniciar sesión como usuario estándar con claves SSH, una buena práctica de seguridad es configurar SSH para que no se permitan el inicio de sesión raíz y la autenticación de contraseña. Ambas configuraciones deben configurarse en el archivo de configuración del daemon SSH. Entonces, ábralo usando nano.

sudo nano /etc/ssh/sshd_config

Busque la línea PermitRootLogin , descomente y establezca el valor en no .

PermitRootLogin     no

Haga lo mismo para la PasswordAuthenticationlínea, que ya no debe estar comentada:

PasswordAuthentication      no

Guarde y cierre el archivo. Para aplicar la nueva configuración, vuelva a cargar SSH.

sudo systemctl reload sshd

Paso 3: configurar la zona horaria

Por defecto, el tiempo en el servidor se da en UTC. Es mejor configurarlo para mostrar la zona horaria local. Para lograrlo, ubique el archivo de zona de su país / área geográfica en el /usr/share/zoneinfodirectorio y cree un enlace simbólico desde él al /etc/localtimedirectorio. Por ejemplo, si está en la parte este de los EE. UU., Creará el enlace simbólico usando:

sudo ln -sf /usr/share/zoneinfo/US/Eastern /etc/localtime

Luego, verifique que el tiempo ahora se da en tiempo local ejecutando el datecomando. El resultado debe ser similar a:

Tue Jun 16 15:35:34 EDT 2015

El EDT en la salida confirma que es hora local.

Paso 4: habilite el firewall de IPTables

De manera predeterminada, la aplicación de firewall activa en un servidor CentOS 7 recientemente activado es FirewallD. Aunque es un buen reemplazo para IPTables, muchas aplicaciones de seguridad aún no tienen soporte para ello. Entonces, si va a utilizar alguna de esas aplicaciones, como OSSEC HIDS, es mejor deshabilitar / desinstalar FirewallD.

Comencemos deshabilitando / desinstalando FirewallD:

sudo yum remove -y firewalld

Ahora, instalemos / activemos IPTables.

sudo yum install -y iptables-services
sudo systemctl start iptables

Configure IPTables para que se inicie automáticamente en el momento del arranque.

sudo systemctl enable iptables

IPTables en CentOS 7 viene con un conjunto predeterminado de reglas, que puede ver con el siguiente comando.

sudo iptables -L -n

La salida se parecerá a:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Puede ver que una de esas reglas permite el tráfico SSH, por lo que su sesión SSH es segura.

Debido a que esas reglas son reglas de tiempo de ejecución y se perderán al reiniciar, es mejor guardarlas en un archivo usando:

sudo /usr/libexec/iptables/iptables.init save

Ese comando guardará las reglas en el /etc/sysconfig/iptablesarchivo. Puede editar las reglas en cualquier momento cambiando este archivo con su editor de texto favorito.

Paso 5: Permitir tráfico adicional a través del firewall

Como lo más probable es que vaya a utilizar su nuevo servidor para alojar algunos sitios web en algún momento, tendrá que agregar nuevas reglas al firewall para permitir el tráfico HTTP y HTTPS. Para lograr eso, abra el archivo IPTables:

sudo nano /etc/sysconfig/iptables

Justo después o antes de la regla SSH, agregue las reglas para el tráfico HTTP (puerto 80) y HTTPS (puerto 443), de modo que esa parte del archivo aparezca como se muestra en el bloque de código a continuación.

-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited

Guarde y cierre el archivo, luego vuelva a cargar IPTables.

sudo systemctl reload iptables

Una vez completado el paso anterior, su servidor CentOS 7 ahora debería ser razonablemente seguro y estar listo para su uso en producción.