Wstępna konfiguracja serwera CentOS 7

• Wprowadzenie
• Wymagania wstępne
• Krok 1: Utwórz standardowe konto użytkownika
• Krok 2: Nie zezwalaj na rootowanie i uwierzytelnianie hasła
• Krok 3: Skonfiguruj strefę czasową
• Krok 4: Włącz zaporę IPTables
• Krok 5: Zezwól na dodatkowy ruch przez zaporę

Wprowadzenie

Nowo aktywowany serwer CentOS 7 musi zostać dostosowany, zanim będzie mógł zostać użyty jako system produkcyjny. W tym artykule najważniejsze dostosowania, które musisz wprowadzić, są podane w łatwy do zrozumienia sposób.

Wymagania wstępne

Nowo aktywowany serwer CentOS 7, najlepiej z kluczami SSH. Zaloguj się do serwera jako root.

ssh -l root server-ip-address

Krok 1: Utwórz standardowe konto użytkownika

Ze względów bezpieczeństwa nie zaleca się wykonywania codziennych zadań obliczeniowych przy użyciu konta root. Zamiast tego zaleca się utworzenie standardowego konta użytkownika, które będzie używane sudodo uzyskiwania uprawnień administracyjnych. W tym samouczku załóżmy, że tworzymy użytkownika o imieniu Joe . Aby utworzyć konto użytkownika, wpisz:

adduser joe

Ustaw hasło dla nowego użytkownika. Zostaniesz poproszony o wprowadzenie i potwierdzenie hasła.

passwd joe

Dodaj nowego użytkownika do grupy kół , aby mógł on korzystać z uprawnień administratora przy użyciu sudo.

gpasswd -a joe wheel

Na koniec otwórz inny terminal na komputerze lokalnym i użyj następującego polecenia, aby dodać klucz SSH do katalogu domowego nowego użytkownika na zdalnym serwerze. Przed zainstalowaniem klucza SSH pojawi się monit o uwierzytelnienie.

ssh-copy-id joe@server-ip-address

Po zainstalowaniu klucza zaloguj się na serwerze przy użyciu nowego konta użytkownika.

ssh -l joe server-ip-address

Jeśli logowanie się powiedzie, możesz zamknąć drugi terminal. Odtąd wszystkie polecenia będą poprzedzone sudo.

Krok 2: Nie zezwalaj na rootowanie i uwierzytelnianie hasła

Ponieważ możesz teraz logować się jako standardowy użytkownik przy użyciu kluczy SSH, dobrą praktyką bezpieczeństwa jest konfigurowanie protokołu SSH, aby zarówno logowanie do katalogu głównego, jak i uwierzytelnianie hasła były niedozwolone. Oba ustawienia należy skonfigurować w pliku konfiguracyjnym demona SSH. Więc otwórz za pomocą nano.

sudo nano /etc/ssh/sshd_config

Poszukaj linii PermitRootLogin , odkomentuj ją i ustaw wartość na no .

PermitRootLogin     no

Zrób to samo dla PasswordAuthenticationwiersza, którego już nie należy komentować:

PasswordAuthentication      no

Zapisz i zamknij plik. Aby zastosować nowe ustawienia, załaduj ponownie SSH.

sudo systemctl reload sshd

Krok 3: Skonfiguruj strefę czasową

Domyślnie czas na serwerze jest podawany w UTC. Najlepiej skonfigurować go tak, aby wyświetlał lokalną strefę czasową. Aby to zrobić, zlokalizuj plik strefy swojego kraju / obszaru geograficznego w /usr/share/zoneinfokatalogu i utwórz z niego symboliczne łącze do /etc/localtimekatalogu. Na przykład jeśli jesteś we wschodniej części Stanów Zjednoczonych, utworzysz dowiązanie symboliczne, używając:

sudo ln -sf /usr/share/zoneinfo/US/Eastern /etc/localtime

Następnie sprawdź, czy czas jest teraz podawany w czasie lokalnym, uruchamiając datekomendę. Dane wyjściowe powinny być podobne do:

Tue Jun 16 15:35:34 EDT 2015

EDT w wyjściowych potwierdza, że to localtime.

Krok 4: Włącz zaporę IPTables

Domyślnie aktywną aplikacją zapory na nowo aktywowanym serwerze CentOS 7 jest FirewallD. Chociaż jest to dobry zamiennik dla IPTables, wiele aplikacji zabezpieczających wciąż nie obsługuje tego. Więc jeśli będziesz używać którejkolwiek z tych aplikacji, takich jak OSSEC HIDS, najlepiej wyłączyć / odinstalować FirewallD.

Zacznijmy od wyłączenia / odinstalowania FirewallD:

sudo yum remove -y firewalld

Teraz zainstalujmy / aktywuj IPTables.

sudo yum install -y iptables-services
sudo systemctl start iptables

Skonfiguruj IPTables, aby uruchamiały się automatycznie podczas uruchamiania.

sudo systemctl enable iptables

IPTables na CentOS 7 zawiera domyślny zestaw reguł, które można wyświetlić za pomocą następującego polecenia.

sudo iptables -L -n

Dane wyjściowe będą przypominać:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Widać, że jedna z tych reguł zezwala na ruch SSH, więc sesja SSH jest bezpieczna.

Ponieważ te reguły są regułami wykonawczymi i zostaną utracone podczas ponownego uruchamiania, najlepiej zapisać je w pliku przy użyciu:

sudo /usr/libexec/iptables/iptables.init save

To polecenie zapisze reguły w /etc/sysconfig/iptablespliku. Możesz edytować reguły w dowolnym momencie, zmieniając ten plik za pomocą swojego ulubionego edytora tekstu.

Krok 5: Zezwól na dodatkowy ruch przez zaporę

Ponieważ najprawdopodobniej będziesz kiedyś używać nowego serwera do obsługi niektórych stron internetowych, musisz dodać nowe reguły do ​​zapory, aby zezwolić na ruch HTTP i HTTPS. Aby to zrobić, otwórz plik IPTables:

sudo nano /etc/sysconfig/iptables

Tuż po regule SSH lub przed nią dodaj reguły dla ruchu HTTP (port 80) i HTTPS (port 443), aby ta część pliku pojawiła się, jak pokazano w bloku kodu poniżej.

-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited

Zapisz i zamknij plik, a następnie załaduj ponownie IPTables.

sudo systemctl reload iptables

Po wykonaniu powyższego kroku serwer CentOS 7 powinien być teraz wystarczająco bezpieczny i gotowy do użycia w produkcji.