digo

前回のVPS設定の続きです。

iptables設定
現在のiptables設定確認〜実際に設定

#iptables -L

#cd ~
#vi iptable-init.sh

#!/bin/sh

iptables -F
iptables -X

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -A INPUT -s 10.0.0.0/8 -j DROP
iptables -A INPUT -s 172.16.0.0/12 -j DROP
iptables -A INPUT -s 192.168.0.0/16 -j DROP

# iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# SSH, HTTP, FTP1, FTP2
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport (任意のポート番号) -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#sh ./iptable-init.sh

#iptables-save > /etc/sysconfig/iptables

iptablesを再起動して実際に設定が反映されるかチェック。
# /etc/rc.d/init.d/iptables restart
# iptables -L

LAMP環境の設定
■Apacheの設定

#vi /etc/httpd/conf/httpd.conf

#ServerTokens OS
ServerTokens Prod
：
#ServerSignature On
ServerSignature Off
：
#Options Indexes FollowSymLinks
Options FollowSymLinks
：
#AllowOverride None
AllowOverride All

#wget http://download.fedora.redhat.com/pub/epel/5/i386/epel-release-5-4.noarch.rpm
#wget http://rpms.famillecollet.com/enterprise/remi-release-5.rpm
#rpm -Uvh epel-release-5* remi-release-5*

#wget http://dag.wieers.com/rpm/packages/rpmforge-release/rpmforge-release-0.5.1-1.el5.rf.x86_64.rpm
#rpm -Uvh rpmforge-release-0.5.1-1.el5.rf.x86_64.rpm

#yum -y --enablerepo=remi,epel,rpmforge update php* mysql*
#yum -y --enablerepo=remi,epel,rpmforge install php-gd php-mbstring php-mysql php-odbc php-pdo #php-pear mysql-server mysql-bench
#yum -y --enablerepo=remi,epel,rpmforge install phpMyAdmin

#vi /etc/php.ini

;date.timezone = date.timezone = Asia/Tokyo

upload_max_filesize = 2M　→10M

Apacheの再起動
# apachectl graceful

■MySQLの設定

#vi /etc/my.cnf

[mysqld]
default-character-set=utf8
skip-character-set-client-handshake
:
[mysql]
default-character-set = utf8

MySQL起動
#/etc/init.d/mysqld start

mysqlのrootのパスワードを設定
#mysqladmin -u root password [rootpassword]

#vi /etc/httpd/conf.d/phpMyAdmin.conf

order deny,allow
#deny from all
#allow from 127.0.0.1
#allow from ::1
allow from all

/etc/init.d/httpd start

http://(YOUR HOST ADDRESS)/phpMyAdmin/

・特権から匿名アカウントの削除
・パスワードなしにパスワード設定
・データベースのtestを削除
参考：http://e-class.jp/modules/smartsection/item.php?itemid=60

#chkconfig --level 345 httpd on
#chkconfig --level 345 mysqld on

■不要なデーモンをストップ

#chkconfig acpid off			電源管理
#chkconfig auditd off			システム監査結果のログ保存
#chkconfig autofs off			ファイルシステムの自動マウント
#chkconfig avahi-daemon off		LAN内でのネットワーク自動構成
#chkconfig bluetooth off		bluetoothに対応
#chkconfig cups off				印刷の管理
#chkconfig firstboot off		インストール直後に呼び出される
#chkconfig gpm off				コンソールマウス機能
#chkconfig haldaemon off		D-BUSサポート
#chkconfig hidd off				bluetoothのキーボードやマウスを対応
#chkconfig kudzu off			ハードウェアの構成変更を検知
#chkconfig lvm2-monitor off		LVMの障害監視
#chkconfig mcstrans off			SELinuxの運用
#chkconfig mdmonitor off		mdデバイスの監視
#chkconfig messagebus off		D-BUSサポート
#chkconfig netfs off			NFSクライアント
#chkconfig nfslock off			NFSロック
#chkconfig pcscd off			スマートカードの管理
#chkconfig portmap off			RPCのポートマッパー
#chkconfig rawdevices off		ハードディスクをブロックデバイスとして利用する際の補助
#chkconfig restorecond off		SELinuxの運用サポート
#chkconfig rpcgssd off			RPCサポート
#chkconfig rpcidmapd off		RPCサポート
#chkconfig smartd off			S.M.A.R.Tのサポート
#chkconfig xfs off				X-Window System用のフォントサーバ

■vsftpdのインストール

# yum -y install vsftpd

#vi /etc/vsftpd/vsftpd.conf

# asciiモードでアップロード、ダウンロードを許可します。
ascii_upload_enable=YES
ascii_download_enable=YES

# ローカルユーザーは全てchroot有効にします。
chroot_local_user=YES　(追記)

# chrootに関する設定をlistで行えるようにします。
chroot_list_enable=YES

# chrootを無効にするユーザーリストを指定します。
# chroot_local_user=YES としたのでリストに記述されるユーザーは
# 上位ディレクトリへアクセスできることになります。
# (default follows)
chroot_list_file=/etc/vsftpd.chroot_list

# ディレクトリまるごと削除出来るように指定したい場合はコメントを外します。
#ls_recurse_enable=YES

####### 追加
# タイムスタンプにローカル時間を指定します。(日本時間に変更)
use_localtime=YES

# PASV（パッシブモード）を有向にするかどうか指定します。
pasv_promiscuous=YES (追記)

# 詳細なログを/var/log/vsftpd.log に記録するか指定します。
# 指定しなければFTPデフォルト、/var/log/xferlog に出力します。
xferlog_std_format=NO (追記)

# Chrootされるディレクトリを指定します。指定が無ければ
# ユーザーのトップのホームディレクトリになります。
# 注意 chrootが有効の場合、~/public_html へchroot されます。
# ディレクトリから上へ上がることは出来ません。
local_root=public_html (追記)

#anon_upload_enable=YES
anon_upload_enable=NO

#anon_mkdir_write_enable=YES
anon_mkdir_write_enable=NO

#data_connection_timeout=120
data_connection_timeout=120

force_dot_file=YES
hide_ids=NO

chroot_listファイルを作成（接続禁止ユーザーを記入）
#touch /etc/vsftpd/chroot_list

vsftpdの起動
# /etc/rc.d/init.d/vsftpd start

■iptableにftpポート20,21を追加

vi iptable-init.sh

iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
[text]

[shell gutter="false" light="true"]
# sh ./iptable-init.sh
# iptables-save > /etc/sysconfig/iptables

iptablesを再起動して実際に設定が反映されるかチェック。
# /etc/rc.d/init.d/iptables restart
# iptables -L
[/shell]

モジュールの追加
iptablesでFTPを通すには20番ポートと21番ポートをあけるだけではpassive modeのFTPはうまく通してくれません。
[shell gutter="false" light="true"]
#vi /etc/sysconfig/iptables-config
[/shell]
[text gutter="false" light="true"]
IPTABLES_MODULES="ip_conntrack_ftp ip_nat_ftp"

■/etc/httpd/conf/httpd.confの修正

エラーページ等に表示される管理者メールアドレスを指定
元）ServerAdmin root@localhost
修）ServerAdmin (YOUR MAIL ADDRESS)

サーバー名を指定
元）#ServerName www.example.com:80
修）ServerName ("YOUR DOMAIN" OR "IP ADDRESS"):80

長すぎるURI(414エラー)はログに記録しない
元）LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
修）LogFormat "%h %l %u %t \"%!414r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

ファイル一覧を見せないよう、この部分を以下のように修正。
元）#Options Indexes FollowSymLinks
修）Options -Indexes FollowSymLinks

DirectoryIndex修正

/ で終わるURLの場合に表示するファイルを設定します。
元）DirectoryIndex index.html index.html.var
修）DirectoryIndex index.html index.php index.html.var

修正内容のに間違いがないかテスト
# apachectl configtest

yum でインストールした場合は自動的に apache というユーザーが作成されるので確認
# cat /etc/passwd | grep apache

■Webminインストール

# wget http://prdownloads.sourceforge.net/webadmin/webmin-1.510-1.noarch.rpm
# rpm -ivh webmin-1.510-1.noarch.rpm

http://(YOUR DOMAIN):10000/

WebminにHTTPSでアクセス出来るように設定する

# wget ftp://ftp.pbone.net/mirror/atrpms.net/el5-x86_64/atrpms/stable/perl-Net_SSLeay.pm-1.25-4.0.el5.x86_64.rpm
# rpm -ivh perl-Net_SSLeay.pm-1.25-4.0.el5.x86_64.rpm

Webminの設定でSSL暗号化を有効に設定し以降はhttpsでアクセスする

https://(YOUR DOMAIN):10000/

Webmin JAVAファイルマネージャの文字化け解消（文字コードUTF-8の場合）

# cd /usr/libexec/webmin/file/lang
# nkf -es ja_JP.UTF-8 > ja_JP.sjis
# mv ja_JP.sjis ja_JP.UTF-8

「さくらのVPS」のサーバー設定をする為にネットを検索したところ、色々な方が設定方法を公開してくれていたので助かりました。
いくつかのサイトを参考にしながら、自分用の備忘録を兼ねてまとめておきます。

VPSコントロールパネルのリモートコンソールを使い、仮登録完了メールに記載の初期パスワードでログインする。
VPSコントロールパネルのパスワードを初期パスワードから変更しておく。

◆rootパスワードの変更

[root@~]# passwd

◆ログアウトして、再度ログインできるか確認

[root@~]# logout

◆SSHで、rootログインを禁止するために一般ユーザ作成

[root@~]# useradd (INPUT LOGIN USER NAME)
[root@~]# passwd (INPUT PASSWORD)

※ホームディレクトリを含めてユーザを削除

[root@~]# userdel -r (INPUT LOGIN USER NAME)

◆追加したユーザーを管理者グループに追加

[root@~]# usermod -G wheel (INPUT LOGIN USER NAME)

※追加したユーザーを管理者グループから削除

[root@~]# gpasswd -d (INPUT LOGIN USER NAME) (INPUT GROUP NAME)

ユーザーグループの設定確認

[root@~]# id (INPUT LOGIN USER NAME)

◆rootになれるユーザを管理者グループのみに限定

[root@~]# vi /etc/pam.d/su

以下の行をコメントアウト（先頭の#を削除する）

#auth    required    pam_wheel.so use_uid

編集に必要なviの操作
h　(←)カーソル左移動
j　(↓)カーソル上移動
k　(↑)カーソル下移動
l　(→)カーソル右移動

x　カーソル位置の一文字削除
：wq　セーブして終了
：q!　 変更した行もセーブせずに終了

◆SSHの公開鍵を設置、SSHでのrootログイン禁止

[root@~]# ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):　←[Enter]キーを押す
Enter passphrase (empty for no passphrase):　←任意のパスフレーズを入力
Enter same passphrase again:　←もう一度同じパスフレーズを入力
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
77:00:6c:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx root@xxxxxxx.sakura.ne.jp

[root@~]# vi /etc/ssh/sshd_config

Port (0〜65535)  # ポート番号を変更
PermitRootLogin no  # rootでのログインを禁止
AllowUsers (INPUT LOGIN USER NAME)  # 指定ユーザのみ接続許可

編集に必要なviの操作
o　［編集モード］：現在行の次に行挿入
u　アンドゥ
[ESC]　［編集モード］の終了

設定を反映するためSSHdを再起動

[root@~]# service sshd restart

◆.bash_profileの編集
以下の内容を追加

alias ls='ls -vF'
alias la='ls -la --color=always'
export LANG=ja_JP.UTF-8

言語設定は、上記.bash_profileでユーザごとに設定することも可能だが、
言語設定ファイル/etc/sysconfig/i18nのLANGに記述されているデフォルト言語設定を変更してもよい
vi /etc/sysconfig/i18n

LANG="ja_JP.UTF-8"

◆sshクライアントでの接続確認
上記設定内容が機能しているか実際に接続して確認
OS XでJellyfiSSHを使用
※JellyfiSSHの接続設定のTitle項目は、半角英語で入力。
全角が混ざると登録は出来ますが、接続時にファイルが破損しているとエラーダイアログが表示され接続できません。

◆パッケージ管理システムの設定
初期状態では yum-updatesd がインストールされていますが、常駐してメモリを消費する為、常駐せずに自動アップデートしてくれるyum-cron をインストールする。

◆yum-updatesd の停止

[root@~]# /etc/rc.d/init.d/yum-updatesd status
[root@~]# /etc/rc.d/init.d/yum-updatesd stop ←起動していれば停止

◆yum-updatesd の削除

[root@~]# yum -y remove yum-updatesd

◆yum の update

[root@~]# yum -y update

◆yum-cron をインストール

[root@~]# yum -y install yum-cron

◆yum-cron を起動と自動起動の設定

[root@~]# /etc/rc.d/init.d/yum-cron start
[root@~]# chkconfig yum-cron on
[root@~]# chkconfig --list yum-cron

かれこれ１０年近く「さくらのレンタルサーバー」で、このサイトを公開しています。
トラブルもなく、バックボーンもしっかりしている為、他社サービスに乗り換えることもなく１０年が過ぎました。
ただ、共有型のレンタルサーバー故の制約に困る事もありました。

そんな折、「さくらインターネット」から新サービス「さくらのVPS」が始まったことを知りました。

今までも他社のVPSは調べたことがあったので、最初の印象としては「VPSってお高いんでしょ」って感じだったのですが、値段がなんと月額９８０円でした。
現在契約しているプランの倍額なので、迷いもなくお試しに申し込むことにしました。

VPSになるとセキュリティ面など自分で設定する部分が大きくなるので、共有型のレンタルサーバーより大変な点も多いのですが、自分自身の勉強にもなりますので頑張って移行していきたいと思っております。

思い起こせば、サーバーの設定・管理なんて１０年ぶりです。
OCNで１２８Kの専用線を自宅にに引いて、月額ウン万円も払って・・・
仮想サーバーですが、ルート権限付きのサーバー運用が月額９８０円とは安くなったもんですねぇ。