Persediaan Awal Pelayan CentOS 7

• Pengenalan
• Prasyarat
• Langkah 1: Buat Akaun Pengguna Standard
• Langkah 2: Larang Root Login dan Pengesahan Kata Laluan
• Langkah 3: Konfigurasikan Zon Waktu
• Langkah 4: Aktifkan Firewall IPTables
• Langkah 5: Benarkan Trafik Tambahan Melalui Firewall

Pengenalan

Pelayan CentOS 7 yang baru diaktifkan harus disesuaikan sebelum dapat digunakan sebagai sistem pengeluaran. Dalam artikel ini, penyesuaian terpenting yang harus anda lakukan diberikan dengan cara yang mudah difahami.

Prasyarat

Pelayan CentOS 7 yang baru diaktifkan, lebih baik disiapkan dengan kekunci SSH. Log masuk ke pelayan sebagai root.

ssh -l root server-ip-address

Langkah 1: Buat Akaun Pengguna Standard

Atas sebab keselamatan, tidak disarankan untuk melakukan tugas pengkomputeran harian menggunakan akaun root. Sebaliknya, disarankan untuk membuat akaun pengguna standard yang akan digunakan sudountuk mendapatkan hak pentadbiran. Untuk tutorial ini, anggaplah bahawa kita membuat pengguna bernama joe . Untuk membuat akaun pengguna, ketik:

adduser joe

Tetapkan kata laluan untuk pengguna baru. Anda akan diminta memasukkan dan mengesahkan kata laluan.

passwd joe

Tambahkan pengguna baru ke kumpulan roda sehingga dapat mengambil hak root menggunakan sudo.

gpasswd -a joe wheel

Akhirnya, buka terminal lain di mesin tempatan anda dan gunakan arahan berikut untuk menambahkan kunci SSH anda ke direktori utama pengguna baru di pelayan jauh. Anda akan diminta untuk mengesahkan sebelum kunci SSH dipasang.

ssh-copy-id joe@server-ip-address

Setelah kunci dipasang, log masuk ke pelayan menggunakan akaun pengguna baru.

ssh -l joe server-ip-address

Sekiranya log masuk berjaya, anda boleh menutup terminal lain. Mulai sekarang, semua arahan akan didahului dengan sudo.

Langkah 2: Larang Root Login dan Pengesahan Kata Laluan

Oleh kerana anda kini boleh log masuk sebagai pengguna biasa menggunakan kunci SSH, amalan keselamatan yang baik adalah mengkonfigurasi SSH supaya proses masuk root dan pengesahan kata laluan tidak dibenarkan. Kedua-dua tetapan harus dikonfigurasi dalam fail konfigurasi SSH daemon. Oleh itu, buka dengan menggunakan nano.

sudo nano /etc/ssh/sshd_config

Cari baris PermitRootLogin , lepaskan dan tetapkan nilainya ke tidak .

PermitRootLogin     no

Lakukan perkara yang sama untuk PasswordAuthenticationbaris, yang seharusnya sudah tidak dapat dibahaskan:

PasswordAuthentication      no

Simpan dan tutup fail. Untuk menggunakan tetapan baru, muat semula SSH.

sudo systemctl reload sshd

Langkah 3: Konfigurasikan Zon Waktu

Secara lalai, masa di pelayan diberikan dalam UTC. Yang terbaik adalah mengkonfigurasinya untuk menunjukkan zon waktu tempatan. Untuk mencapainya, cari fail zon negara / kawasan geografi anda dalam /usr/share/zoneinfodirektori dan buat pautan simbolik dari sana ke /etc/localtimedirektori. Contohnya, jika anda berada di bahagian timur AS, anda akan membuat pautan simbolik menggunakan:

sudo ln -sf /usr/share/zoneinfo/US/Eastern /etc/localtime

Selepas itu, sahkan bahawa waktu sekarang diberikan dalam waktu tempatan dengan menjalankan dateperintah. Keluarannya harus serupa dengan:

Tue Jun 16 15:35:34 EDT 2015

The EDT dalam mengesahkan output bahawa itu localtime.

Langkah 4: Aktifkan Firewall IPTables

Secara lalai, aplikasi firewall aktif pada pelayan CentOS 7 yang baru diaktifkan adalah FirewallD. Walaupun merupakan pengganti yang baik untuk IPTables, banyak aplikasi keselamatan masih belum mendapat sokongan untuknya. Oleh itu, jika anda menggunakan salah satu aplikasi tersebut, seperti OSSEC HIDS, lebih baik anda melumpuhkan / menyahpasang FirewallD.

Mari mulakan dengan melumpuhkan / menyahpasang FirewallD:

sudo yum remove -y firewalld

Sekarang, mari pasang / aktifkan IPTables.

sudo yum install -y iptables-services
sudo systemctl start iptables

Konfigurasikan IPTables untuk bermula secara automatik pada waktu boot.

sudo systemctl enable iptables

IPTables pada CentOS 7 dilengkapi dengan set peraturan lalai, yang dapat anda lihat dengan perintah berikut.

sudo iptables -L -n

Keluarannya akan menyerupai:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Anda dapat melihat bahawa salah satu peraturan tersebut membenarkan trafik SSH, jadi sesi SSH anda selamat.

Kerana peraturan tersebut adalah peraturan runtime dan akan hilang semasa reboot, lebih baik menyimpannya ke fail menggunakan:

sudo /usr/libexec/iptables/iptables.init save

Perintah itu akan menyimpan peraturan ke /etc/sysconfig/iptablesfail. Anda boleh mengedit peraturan kapan saja dengan mengubah fail ini dengan editor teks kegemaran anda.

Langkah 5: Benarkan Trafik Tambahan Melalui Firewall

Oleh kerana kemungkinan besar anda akan menggunakan pelayan baru anda untuk mengehoskan beberapa laman web pada satu ketika, anda harus menambahkan peraturan baru ke firewall untuk membolehkan trafik HTTP dan HTTPS. Untuk mencapai itu, buka fail IPTables:

sudo nano /etc/sysconfig/iptables

Tepat selepas atau sebelum peraturan SSH, tambahkan peraturan untuk lalu lintas HTTP (port 80) dan HTTPS (port 443), sehingga bahagian fail tersebut muncul seperti yang ditunjukkan dalam blok kod di bawah.

-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited

Simpan dan tutup fail, kemudian muatkan semula IPTables.

sudo systemctl reload iptables

Dengan langkah di atas selesai, pelayan CentOS 7 anda kini harus cukup selamat dan siap digunakan dalam pengeluaran.