Chciałbym pokazać jak przy użyciu zewnętrznego dedykowanego serwera możemy przygotować środowisko udostępniające możliwość stworzenia wielu wirtualnych maszyn, które możemy udostępnić na zewnątrz.

Czego będziemy potrzebowali?

– musimy posiadać wykupiony serwer dedykowany, powiedźmy taki: http://www.hetzner.de/en/hosting/produkte_rootserver/ex4

– powinniśmy mieć min. 5 różnych adresów IP,

Utworzymy następujące maszyny:

Typ: Node
Hardware: Serwer dedykowany
Nazwa: root.example.com
IP:192.168.1.1

Typ: Container
Hardware: Maszyna wirtualna
Hostname: web.example.com
IP:192.168.1.2

Typ: Container
Hardware: Maszyna wirtualna
Hostname: mail.example.com
IP:192.168.1.3

Typ: Container
Hardware: Maszyna wirtualna
Hostname: ns1.example.com
IP:192.168.1.4

Typ: Container
Hardware: Maszyna wirtualna
Hostname: ns2.example.com
IP:192.168.1.5

0) Certyfikat SSL:
W następnym poście opisałem kroki potrzebne do wygenerowania certyfikatu SSL dla naszego środowiska serwerowego.

1) Podstawy konfiguracji:

HetZner udostępnił prosty graficzny interfejs, dzięki któremu możemy w prosty sposób możemy zainstalować jeden z dostępnych systemów. Wybieramy Debian 6.0 minimal. Otrzymasz dane do zalogowania się do naszego systemu.

2) Instalujemy paczkę do wirtualizacji systemu:

Na początku musimy dla pewności pobrać aktualizacje dla naszego systemu, o ile są dostępne:

apt-get update && apt-get -y upgrade && apt-get -y dist-upgrade

Dodatkowo musimy zainstalować pakiety pozwalające nam na edycję plików, tworzące archiwa, sprawdzające czas:

apt-get -y install nano wget ntp ntpdate

Pobieramy oraz instalujemy OpenVZ (system do tworzenia maszyn wirtualnych w naszym środowisku):

apt-get install linux-image-openvz-amd64 vzctl vzquota vzdump

Tworzymy dowiązanie symboliczne:

ln -s /var/lib/vz /vz

Dodajemy odpowiednie wpisy do pliku sysctl.conf:

nano /etc/sysctl.conf

będą one konfigurowały cechy naszego połączenie poprze IPv4:

net.ipv4.conf.all.rp_filter=1net.ipv4.icmp_echo_ignore_broadcasts=1net.ipv4.conf.default.forwarding=1net.ipv4.conf.default.proxy_arp = 0net.ipv4.ip_forward=1kernel.sysrq = 1net.ipv4.conf.default.send_redirects = 1net.ipv4.conf.all.send_redirects = 0net.ipv4.conf.eth0.proxy_arp=1

sysctl -p

zaktualizujemy wpisy, tak aby system je rozpoznał, dzięki czemu nasze maszyny wirtualne otrzymają wewnętrzne adresy IP, a poprzez główny adres IP będą mogły łączyć się ze światem. 
Będziemy edytować:

nano /etc/vz/vz.conf

dodamy:

# Controls which interfaces to send ARP requests and modify APR #tables on.NEIGHBOUR_DEVS=all

robimy:

reboot

Katalog /home po zamontowaniu może być wykorzystany jako kopi zapasowa OpenVZ:

rm -rf /var/lib/vz/dump ln -s /home/backup/vz /var/lib/vz/dump

Przygotujemy konfigurację, dzięki której później będziemy mogli wykorzystać z fail2ban:

nano /etc/vz/vz.conf

szukamy IPTABLES, następnie komentujemy go. Dodajemy natomiast:

IPTABLES=”ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length ipt_state”

następnie aktywujemy nowe ustawienia:

modprobe xt_state

Dodajemy GUI dla OpenVZ:

wget -O – http://ovz-web-panel.googlecode.com/svn/installer/ai.sh | sh

3) Utworzenie nowej maszyny wirtualnej:

Logujemy się przez przeglądarkę do OpenVZ. Klikamy kolejno:localhost -> OS Templates. Następnie klikamy: Install New OS Template -> Contributed  oraz wybieramy debian-6.0-amd64-minimal (lub inną dystrybucję).Wracamy do ekranu localhost następnie klikamy na Create virtual server. Musimy wypełnić kilka opcji dotyczących maszyny:

apt-get update && apt-get -y upgrade && apt-get -y dist-upgrade 
apt-get -y install nano wget ntp ntpdate

4) Konfigurujemy serwer dedykowany (web.example.tld):

Edytujemy plik hosts na wszystkich maszynach:

nano /etc/hosts
127.0.0.1 localhost192.168.1.2 web.example.tld192.168.1.3 mail.example.tld192.168.1.4 ns1.example.tld192.168.1.5 ns2.example.tld
# The following lines are desirable for IPv6 capable hosts::1     localhost ip6-localhost ip6-loopbackfe00::0 ip6-localnetff00::0 ip6-mcastprefixff02::1 ip6-allnodesff02::2 ip6-allroutersff02::3 ip6-allhosts

przechodzimy do maszyny (192.168.1.2) nadajemy nazwę serwerowi web:

echo web.example.tld > /etc/hostname /etc/init.d/hostname.sh start

apt-get -y install mysql-client mysql-server

edytujemy ustawienia nasłuchu dla naszej bazy:

nano /etc/mysql/my.cnf
# Instead of skip-networking the default is now to listen only on
# localhost which is more compatible and is not less secure.
#bind-address           = 127.0.0.1

/etc/init.d/mysql restart

Musimy doinstalować niezbędne pakiety:

apt-get -y install apache2 apache2.2-common apache2-doc apache2-mpm-prefork apache2-utils libexpat1 ssl-cert libapache2-mod-php5 php5 php5-common php5-gd php5-mysql php5-imap phpmyadmin php5-cli php5-cgi libapache2-mod-fcgid apache2-suexec php-pear php-auth php5-mcrypt mcrypt php5-imagick imagemagick libapache2-mod-suphp libopenssl-ruby libapache2-mod-ruby sudo zip wget

W czasie instalacji musimy odpowiedzieć na pytanie:

Web server to reconfigure automatically: apache2

Musimy uruchomić kilka modułów apache’a:

a2enmod suexec rewrite ssl actions include ruby dav_fs dav auth_digest headers expires

Instalujemy ftp:

apt-get -y install pure-ftpd-common pure-ftpd-mysql
nano /etc/default/pure-ftpd-common

musimy ustawić:

Ustawimy bezpieczne połączenie dla ftp:

Konfigurujemy certyfikat SSL:

openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

Country Name (2 letter code) [AU]: skrót kraju PL State or Province Name (full name) [Some-State]: WojewództwoLocality Name (eg, city) []: Miasto
Organization Name (eg, company) [Internet Widgits Pty Ltd]: Nazwa firmy
Organizational Unit Name (eg, section) []: Oddział / Departament
Common Name (eg, YOUR name) []: nazwa naszej domenyEmail Address []: mail admina
chmod 600 /etc/ssl/private/pure-ftpd.pem

Instalujemy statystyki:

apt-get -y install vlogger webalizer awstats
nano /etc/cron.d/awstats

kopiujemy poniższy wpis w takim kształcie:

#*/10 * * * * www-data [ -x /usr/share/awstats/tools/update.sh ] && /usr/share/awstats/tools/update.sh
# Generate static reports:#10 03 * * * www-data [ -x /usr/share/awstats/tools/buildstatic.sh ] && /usr/share/awstats/tools/buildstatic.sh

Opcjonalnie możemy zainstalować Jailkit ( robimy to przez instalacją ISPConfig ):

apt-get -y install build-essential autoconf automake1.9 libtool flex bison debhelper
cd /tmp wget http://olivier.sessink.nl/jailkit/jailkit-2.14.tar.gz tar xvfz jailkit-2.14.tar.gz cd jailkit-2.14 ./debian/rules binary cd .. dpkg -i jailkit_2.14-1_*.deb rm -rf jailkit-2.14*

Instalujemy fail2ban :

apt-get install fail2ban
nano /etc/fail2ban/jail.local

[pureftpd]
enabled  = true
port     = ftp
filter   = pureftpd
logpath  = /var/log/syslog
maxretry = 3

nano /etc/fail2ban/filter.d/pureftpd.conf

[Definition]failregex = .*pure-ftpd: (.*@) [WARNING] Authentication failed for user.*ignoreregex =

/etc/init.d/fail2ban restart

Musimy dodać konta do bazy danych. Logujemy się do phpmyadmin, http://192.168.1.2/phpmyadmin:

CREATE USER 'root’@’192.168.1.3′ IDENTIFIED BY 'myrootpassword’; GRANT ALL PRIVILEGES ON * . * TO 'root’@’192.168.1.3′ IDENTIFIED BY 'myrootpassword’ WITH GRANT OPTION MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
CREATE USER 'root’@’192.168.1.4′ IDENTIFIED BY 'myrootpassword’; GRANT ALL PRIVILEGES ON * . * TO 'root’@’192.168.1.4′ IDENTIFIED BY 'myrootpassword’ WITH GRANT OPTION MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
CREATE USER 'root’@’192.168.1.5′ IDENTIFIED BY 'myrootpassword’; GRANT ALL PRIVILEGES ON * . * TO 'root’@’192.168.1.5′ IDENTIFIED BY 'myrootpassword’ WITH GRANT OPTION MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
CREATE USER 'root’@’mail.example.tld’ IDENTIFIED BY 'myrootpassword’; GRANT ALL PRIVILEGES ON * . * TO 'root’@’mail.example.tld’ IDENTIFIED BY 'myrootpassword’ WITH GRANT OPTION MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
CREATE USER 'root’@’ns1.example.tld’ IDENTIFIED BY 'myrootpassword’; GRANT ALL PRIVILEGES ON * . * TO 'root’@’ns1.example.tld’ IDENTIFIED BY 'myrootpassword’ WITH GRANT OPTION MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
CREATE USER 'root’@’ns2.example.tld’ IDENTIFIED BY 'myrootpassword’; GRANT ALL PRIVILEGES ON * . * TO 'root’@’ns2.example.tld’ IDENTIFIED BY 'myrootpassword’ WITH GRANT OPTION MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;

Oczywiście musimy odpowiednio wpisać IP, oraz nazwy naszym wirtualnych maszyn, zgodnie z ustawieniami w naszej sieci.

Wracamy do maszyny Web:

Usuwamy niepotrzebne pliki:

127.0.0.1 localhost192.168.1.2 web.example.tld
192.168.1.3 mail.example.tld
192.168.1.4 ns1.example.tld
192.168.1.5 ns2.example.tld
# The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
ff02::3 ip6-allhosts

echo mail.example.tld > /etc/hostname echo mail.example.tld > /etc/mailname
/etc/init.d/hostname.sh start

apt-get -y install postfix postfix-mysql postfix-doc mysql-client mysql-server openssl getmail4 rkhunter binutils dovecot-imapd dovecot-pop3d

Odpowiadamy na pytania w trakcie instalacji:

apt-get -y install amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 arj nomarch lzop cabextract apt-listchanges libnet-ldap-perl libauthen-sasl-perl clamav-docs daemon libio-string-perl libio-socket-ssl-perl libnet-ident-perl zip libnet-dns-perl
Zainstalujemy PHP:
apt-get -y install php5-cli php5-mysql php5-mcrypt mcrypt
apt-get install fail2ban

nano /etc/fail2ban/jail.local

[dovecot-pop3imap]
enabled = true
filter = dovecot-pop3imap
action = iptables-multiport[name=dovecot-pop3imap, port=”pop3,pop3s,imap,imaps”, protocol=tcp]
logpath = /var/log/mail.log
maxretry = 5
nano /etc/fail2ban/filter.d/dovecot-pop3imap.conf

[Definition]failregex = (?: pop3-login|imap-login): .*(?:Authentication failure|Aborted login (auth failed|Aborted login (tried to use disabled|Disconnected (auth failed|Aborted login (d+ authentication attempts).*rip=(?PS*),.*ignoreregex =
/etc/init.d/fail2ban restart

Instalujemy ISPConfig:

Kończymy konfigurację:

6) Instalujemy serwer DNS:

Dodajemy jeżeli nie posiadamy wpisy w /etc/hosts. Dokładnie tak samo jak jak wcześniej.Zmienimy nazwę maszyny:

Znów usuwamy niepotrzebne pliki:

rm -f /var/www/ispconfig
rm -rf /tmp/ispconfig3_install/install
rm -f /tmp/ISPConfig-3-stable.tar.gz

Dodajemy jeżeli nie posiadamy wpisy w /etc/hosts. Dokładnie tak samo jak jak wcześniej.Zmienimy nazwę maszyny:

Znów usuwamy niepotrzebne pliki:

rm -f /var/www/ispconfig
rm -rf /tmp/ispconfig3_install/install
rm -f /tmp/ISPConfig-3-stable.tar.gz

8) Konfigurujemy ISPConfig:

---

Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.

Link do formularza tutaj: https://beitadmin.pl/pomysly

Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).