Форумы портала PHP.SU :: Версия для печати :: Поднятие, настройки веб-сервера

1. Vaio - 06 Сентября, 2013 - 01:03:49 - перейти к сообщению

Здравствуйте.

Нужно поднять веб-сервер (nginx+php-fpm) на Debian 7.1. Ранее пользовался тем, что установит хостер или какая-то панелька. Теперь есть выделенный сервер и хочется все собрать с 0. Хотел попросить у вас советов, о том какие пакеты/сервисы нужны для обеспечения стабльнои и продуктивной работы сервера, и защищенности.

Как быть с фаерволом (есть на примете csf) и какие правила использовать, чтобы хоть немного защитить сервер?
Как лучше настроить связку nginx+php-fpm, который конфиг использовать чтобы получить хорошую скорость работы и безопасность?
Какой mysql сервер выбрать (есть на примете mariadb) и как его лучше настроить?
Какие еще сервисы нужны?
(почта и dns(bind) не нужны)

Буду очень благодарен всем вашим советам. Спасибо.

2. Мелкий - 06 Сентября, 2013 - 09:53:21 - перейти к сообщению

0) сервисы и пакеты - самый защищённый и стабильный сервис это тот, которого нет.
1) файрволл - типичный iptables. Раскурить маны - и он становится прост и понятен. Придерживайтесь политики "запрещено всё, что не разрешено явно".
2) Отталкивайтесь от дефолтного, посмотрите мануалы. Подкрутите настройки до желаемого результата. Они напрямую зависят от проекта.
3) Разве есть много вариантов? MySQL - и есть MySQL. Он один.
Есть, в целом, бинарно совместимый форк MariaDB. Из-за завинчивания гаек ораклом - лучше на маньку мигрировать. Ещё лучше - на postgresql
4) разумеется те, которые нужны для решения стоящих задач.

3. Vaio - 07 Сентября, 2013 - 11:58:29 - перейти к сообщению

Мелкий пишет:

1) файрволл - типичный iptables. Раскурить маны - и он становится прост и понятен. Придерживайтесь политики "запрещено всё, что не разрешено явно".

Перечитав много информации на эту тему в интернете удалось составить такой набор правил:

Спойлер (Отобразить)

CODE (htmlphp):
скопировать код в буфер обмена

#!/bin/bash
 
#Clear all#
iptables -F
iptables -t nat -F
iptables -t mangle -F
 
iptables -X
iptables -t nat -X
iptables -t mangle -X
 
#Deny all#
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT       
 
#Allow local interface#                                                                                         
iptables -A INPUT -i lo -j ACCEPT
 
#Blacklist#
iptables -A INPUT -s 10.0.0.0/8       -j DROP                                                           
iptables -a INPUT -s 192.0.0.1/24     -j DROP                                                           
iptables -A INPUT -s 169.254.0.0/16   -j DROP                                                           
iptables -A INPUT -s 172.16.0.0/12    -j DROP                                                           
iptables -A INPUT -s 224.0.0.0/4      -j DROP                                                           
iptables -A INPUT -d 224.0.0.0/4      -j DROP                                                           
iptables -A INPUT -s 240.0.0.0/5      -j DROP                                                           
iptables -A INPUT -d 240.0.0.0/5      -j DROP                                                           
iptables -A INPUT -s 0.0.0.0/8        -j DROP                                                           
iptables -A INPUT -d 0.0.0.0/8        -j DROP                                                           
iptables -A INPUT -d 239.255.255.0/24 -j DROP                                                           
iptables -A INPUT -d 255.255.255.255  -j DROP
 
#Whitelist#
iptables -A INPUT -s 1.2.3.4 -j ACCEPT
 
#Deny invalid#
iptables -A INPUT   -m state --state INVALID -j DROP                                                    
iptables -A FORWARD -m state --state INVALID -j DROP                                                    
iptables -A OUTPUT  -m state --state INVALID -j DROP
 
#Deny synflood#
iptables -A INPUT -p tcp -m tcp --tcp-flags ALL ACK,RST,SYN,FIN -j DROP
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,FIN SYN,FIN -j DROP                             
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -A INPUT -m state --state NEW -p tcp -m tcp --syn -m recent --name SYNFLOOD --set                                              
iptables -A INPUT -m state --state NEW -p tcp -m tcp --syn -m recent --name SYNFLOOD --update --seconds 1 --hitcount 60 -j DROP
 
#Deny tcp without syn#
iptables -I INPUT -m conntrack --ctstate NEW -p tcp ! --syn -j DROP
 
#Deny ICMP#
iptables -I INPUT -p icmp -f -j DROP
 
#Allow rel, estb#
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
 
#Deny SFTP brut#
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --name SFTP_BRUTE --set
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --name SFTP_BRUTE --update --seconds 30 --hitcount 3 -j DROP
 
#Deny DoS http|s#
iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 15 --hitcount 20 -j DROP
iptables -I INPUT -p tcp --dport 443 -m state --state NEW -m recent --update --seconds 15 --hitcount 20 -j DROP
 
#Rules#
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
 
#Allow logs#
iptables -N LOGGING                                                                                             
iptables -A INPUT -j LOGGING                                                                                            
iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 6        
iptables -A LOGGING -j DROP                                                                                     
 

Ваше мнение? Есть что-то лишнее или чего-то не хватает?