Webserver. Dedizierte JB« einrichten und administrieren. Michael Hilscher. Galileo Computing

Transkript

1 Michael Hilscher 2008 AGI-Information Management Consultants May be used for personal purporses only or by libraries associated to dandelon.com network. Dedizierte Webserver einrichten und administrieren JB«Galileo Computing

2 Inhalt 1 Einführung Vorwort Anmerkungen zur 2. Auflage Danksagung Arbeitsvoraussetzungen Historie zu UNIX, BSD und Linux Bemühungen zur Standardisierung von UNIX Entwicklung freier UNIX-Derivate Welches System ist für mich das richtige? Vor-und Nachteile der verschiedenen Systeme Wartung und Pflege Saubere Installation Hardware-Unterstützung Dokumentation, Mailinglisten und Support Notfallsystem Resümee Bezugsmöglichkeiten 27 Erste Schritte Vorbereitungen und Hinweise zur Installation Hinweise zu benötigten Partitionen Das richtige Filesystem Installation von Debian 3.0r Alternativen zu dselect für die Installation offizieller Debian-Pakete Installation von SUSE RPM - die Paketverwaltung von SUSE OpenßSD So helfen Sie lahmen IDE-Festplatten auf die Sprünge (DMA-Modus) Einführung in die UNIX-Welt Wichtige Systemprogramme in der Übersicht Crashkurs-Crundbefehle (cd, Is, mkdir, rm, cp, mv, cat, tail, head und echo) Dateigrößen und Zahlensysteme Die Editoren vi(m) und pico Das Einmaleins der administrativen Befehle (su, find, locate, grep, ps, top, kill, du) 62 Inhalt

3 2.3.5 Hard- und Softlinks (In) Informationen zu Logins (finger, lastlog) netstat kennt alle lauschenden und kommunizierenden Prozesse Partitionen richtig mounten (mount, umount) Das UNIX-Rechtesystem (chmod, chown, chgrp) User-Verwaltung (useradd, userdel, usermod, groupadd, groupdel) sudo Shell-Crashkurs Automatische Dateinamenerweiterung Befehlshistorie Cursor-Befehle Umleitung von Ein-und Ausgabe Ausführung als Hintergrundprozess Befehlsverknüpfungen Setzen von Umgebungsvariablen Definition von Aliasen für Befehle Der Bootloader LlLO- Generic Bootloader for Linux Boot (OpenBSD) und Bootable-Flag (fdisk) Netzwerkeinstellungen und Konfiguration sipcalc macht die Bestimmung von IP-Adressen einfach Konfiguration eines Netzwerk-Interfaces unter Linux Konfiguration eines Netzwerk-Interfaces unter OpenBSD Konfiguration eines Nameservers (unter Linux und OpenBSD) Manuelles Installieren (Kompilieren) von Programmen Sollen Installationspfade angepasst werden? Sicherheitsaspekte Überprüfen der Vertrauenswürdigkeit von Programmpaketen Deinstallation Startskripte Linux OpenBSD Der eigene Kernel Linux OpenBSD Wichtige Serverdienste OpenSSH Konfiguration Betrieb User-Home-Verzeichnis chrooten Domain Name Server System Grundkonfiguration Testlauf Inhalt

4 3.2.3 Bind im harten Server-Einsatz Domains registrieren und KK-Anträge Wann lohnt sich der eigene Nameserver? Apache Installation Grundkonfiguration Default Server und virtuelle Hosts Verzeichnis- und Datei-Optionen Hostbasierter Zugriffsschutz User-spezifischer Zugriffsschutz Secure Socket Layer Anpassung von serverseitigen Fehlermeldungen Logfile-Erstellung und-auswertung PHP 4/ CGI für Perl, PHP, Python und Co Apache enthält Sicherheitslücken Tomcat Installation Grundkonfiguration Absicherung von Tomcat Tomcat-Seiten über Apache ausliefern MySQL oder PostgreSQL? MySQL Absicherung User-Verwaltung und Rechtemodelle Interne Vorgehensweise bei einer Zugriffsprüfung Tabellen optimieren Backups und Wiederherstellung Tabellen reparieren Passwort des Administrators vergessen? Logging phpmyadmin PostgreSQL Start von PostgreSQL Verbindungsaufbau und psql-befehle Absicherung User anlegen User löschen Datenbanken anlegen und löschen Rechtemodell von PostgreSQL Bestehende Datenbank einem neuem Eigentümer zuweisen Struktur und Datenbankinformationen abfragen Backup mit pg_dump und pg_restore phppgadmin Die Komponenten eines Mailservers Postfix Manuelle Kompilierung von Postfix mit MySQL und SASL-Support Grundkonfiguration 225 Inhalt 7

5 3.9.3 Lokale Mail-Adressen Testlauf und Einblick in das SMTP Restriktionen Einrichten von Postfächern, Aliasen sowie Weiterleitungen POP-before-SMTP Wichtig: Reversen DNS-Eintrag für Ihren Mailserver Abschluss der Mailserver-Basiskonfiguration mit qpopper Authentifizierung für Nachrichtenversand über Cyrus SASL-Auth Effektive Spam-Blockade durch RBLs Virtuelle Accounts über MySQL Steuerung und Optimierung des Prozessverhaltens mit master.cf Feintuning der main.cf Traffic-Auswertung Courier-IMAP Installation Konfiguration Das Webinterface SquirrelMail Der FTP-Server ProFTPD Installation von ProFTPD mit MySQL-Support Konfiguration von ProFTPD Vorbereiten der MySQL-Datenbank Erzeugen von FTP-Accounts Testen der FTP-Installation Fehlerteufel Freischalten eines FTP-Zugangs mit Einmalpasswörtern über Perl Traffic-Auswertung xferlog Verwaltung und Administration Automatische Jobsteuerung Cron-Jobs Syslogd Ein einfaches Beispiel Das Priority-Konzept Kombinationen von Facility und Priority in der Praxis Zugriffsrechte der Logdateien Logfiles verwalten Logrotate (Linux) Newsyslog (OpenBSD) Archivierte Logfiles mit mpack versenden Systemzeit Automatisierte Korrektur der Systemzeit Inhalt

6 4.5 Systemüberwachung Traffic-Analyse Überwachung von CPU, Load, RAM und verfügbarer Bandbreite Speicherplatz mit Quotas beschränken Partition für Quotas vorbereiten Quotas erstellen und verwalten Quotas im Betrieb: Übersicht und automatisierte Infomails Automation Einführung in die Shell-Programmierung Einführung in die Perl-Programmierung Abschließende Anmerkungen und Skriptübersicht Backup Welche Daten sind zu sichern? Wie häufig ist zu sichern? Wohin ist zu sichern? Womit ist zu sichern? Backup der Nutzdaten mit rsync Voll-Backup mittar Stresstests Mit Stress Arbeitsspeicher entziehen und CPU/Load-Belastung erhöhen Apache under Siege Ressourcen beschränken Ressourcen unter Linux über PAM nutzerbezogen beschränken Ressourcen unter OpenBSD nutzerbezogen einschränken Loadbalancing Hochverfügbarkeit Festplatte prüfen Debian und SUSE zur Reparatur read-only starten Read-only-Start von OpenBSD? S.M.A.R.T Das Rettungssystem Ein Linux-Rettungssystem auf CD-ROM Raid-Systeme,, Vorstellung verschiedener Admintools Server absichern Vorbemerkung Einspielen von Security-Updates Debian SUSE OpenBSD 360 Inhalt 9

7 5.3 Paketfilter TCP UDP ICMP Vorgehensweise Syntax und Definition von Regeln Logging zur Regelerstellung nutzen SSH http(s) FTP Mailserver auth/ident DNS Timeserver Fragmentation Needed and Don't Fragment was Set Ping Parameter-Problem Unsinnige Pakete verwerfen Welche Pakete sollten geloggt werden? Paketfilter-Regeln nach dem Booten automatisiert laden Systrace Installation Regelerstellung und Betrieb Stolperfallen Logging Chroot Chroot als Admintool Feinabstimmung Inetd abschalten DerTCP-Wrapper Zugriffsrechte Bastille und harden-suse Informationen zu /proc, insmod und dem Ptrace-Bug Nessus Vorbereitungen Nutzung Fehlalarm ist keine Seltenheit nmap Die wichtigsten Funktionen Portscans erkennen Integritätsprüfung mit AIDE Vorbereitungen - Initialisieren und Erstellen der AIDE-Datenbank Überprüfung der Systemintegrität Sicherheitshinweise Das Intrusion-Detection-System Snort Installation und Aktualisierungen Betrieb 404 1O Inhalt

8 5.12 Absichern von Logfiles Automatisierte Sicherung über ssh Automatisierte Sicherung per Logfile-Analyse Automatisierte Warnmeldungen via Logsurfer Analyseberichte mit Logcheck erstellen Sicherheitsinformationen beziehen Verhalten beim Super-CAU Rechtliche Maßnahmen? Linux-Vserver Sinn und Zweck Installation Einrichten einer virtuellen Vserver-Umgebung Programme für parallelen Betrieb vorbereiten Betrieb von Vserver-Umgebungen Feinheiten des Boot-Prozesses Bind Systemneustart innerhalb einer Vserver-Umgebung Die v-befehlsversionen Platz sparen mit vunify RPM-Pakete gleichzeitig einspielen /proc gegen Missbrauch absichern Der eigene Server Die richtige Hardware Wahl des richtigen Vertragspartners Checkliste zur Prüfung des Wunschanbieters Vorgehensweise nach Bereitstellung eines Servers Absicherung eines vom Dienstleister vorinstallierten Systems Bürokratisches Gesetzliche Regelungen für den Betrieb einer Website Pflichtangaben Problematik externer Links Betrieb eines Gästebuchs oder Forums Newsletter Das Domain-Recht 456 Inhalt 11

9 8.2 Rechtliche Absicherungen gegenüber Kunden Inhalte von Internetseiten Registrierung eines Domain-Namens Pflichten des Kunden Datenschutzfragen beim Betrieb eines Webservers Haftungsbeschränkung und technische Einschränkungen Abschließende Hinweise und Tipps zu AGB Datenschutz und Logfiles Vorsicht bei Auskunftsersuchen und Durchsuchungen Ernennung eines Datenschutzbeauftragten Rechtliche Hinweise und Verfahrensfragen zur Registrierung von Domain-Adressen Lauschangriff macht Betreuung von knapp über Kunden zu kostspielig! Spam nur auf ausdrücklichen Wunsch blocken! Fällt das Datenschutzrecht für den Zwang zur personenbezogenen Vorratsdatenspeicherung? 471 A Anhang 473 A.1 Wegweiser: Buch CD-Rom 473 A.2 Glossar 474 A.3 Bibliografie 478 A.4 Linkliste 479 Index Inhalt