![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
2011/09/18からのアクセス回数 8118
CMS(コンテンツマネジメントシステム)の各記事にふさわしい広告を表示する実験と Sageの公開サーバを構築するために、さくらのVPSを使うことにしました。
ここでは、VPSの申し込み直後から最低限必要な設定
さくらのVPSを申し込むと、「さくらコントロールパネル」のURLとIPアドレス、パスワードが送られてきます。
VPSの初期画面は以下のようなものです。
何の準備もなく、いきなりサーバを起動するのは危険です。 必要最低限のセキュリティ対策を整えてからはじめましょう。
少し調べて見ましたが、さくらのサイトには、VPSサーバ構築の情報は提供されていませんでした。 *1
ユーザが何の対処もしないでVPSサーバを起動した場合、セキュリティーの甘いサーバが多数現れることが予想されるため、サーバテンプレートを提供する等の策を講じたが良いと思われます。
Googleで検索したところ、色々な方がさくらのVPSの構築方法を紹介されていますが、 ここでは、独断と偏見で参考になるサイトを紹介し、私の取った設定方法について説明します。
参考にしたサイト、
です。
「さくらコントロールパネル」「起動」ボタンを押して、サーバを起動します。
続いて、「リモートコンソール」ボタンを押して、リモートコンソールを表示します。
改行キーを押すとloginプロンプトが表示されますので、rootとさくらから送られたパスワードを入力します。
最初にrootのパスワードを自分の覚えやすいものに変更します。
# passwd
インターネットと直接つながったサーバなので、
ことを原則します。
まず、管理者用のアカウントを作成します。
# useradd 管理者アカウント # passwd 管理者アカウント
suコマンドの使用をwheelグループに限定します。
# cp /etc/pam.d/su /etc/pam.d/su.org # vi /etc/pam.d/su 以下の行のコメント(#)を外す # auth required pam_wheel.so use_uid
これで、wheelグループ以外のユーザがsuコマンドを使用すると
$ su su: incorrect password
のエラーが表示され、suコマンドが使えなくなります。
どうしても管理者アカウントにsuコマンドの使用を許したい場合には、
# usermod -G wheel 管理者アカウント
としてください。
管理者にsudoコマンドの使用を許可するために以下の行を追加します。
# visudo 管理者アカウント ALL=(ALL) ALL
これで、管理者アカウントの設定は完了です。rootアカウントをログアウトし、管理者アカウントでログインします。
SSHの設定ポリシーは、
とします。
まず、管理者アカウントにSSH用のディレクトリを作成します。
$ mkdir .ssh
クライアント側のホームディレクトリに.sshが存在しない場合、
$ ls -a
で.sshが表示されない時には、クライアント側の公開鍵を作成します。
$ ssh-keygen -t rsa
作成された公開鍵をVPSサーバに転送します。 *2
$ scp .ssh/id_rsa.pub 管理者アカウント@サーバアドレス:/home/管理者アカウント/
サーバに戻って、sshdの設定をします。
$ sudo cp /etc/sshd/sshd_config /etc/sshd/sshd_config.org $ sudo vi /etc/ssh/sshd_config 以下の項目を追加・変更します Port 10022 PermitRootLogin no RSAAuthentication yes PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys PasswordAuthentication no $ sudo /etc/init.d/sshd restart
SSHのポート番号を22から10022に変更した他に、SSH接続元の制限することでセキュリティを強化します。 以下の例では.jpとしましたが、VPSに接続するポートやプロバイダーのアドレスが分かっている場合には、そのアドレスをセットするとより安心です。
$ sudo vi /etc/hosts.allow 以下を追加 ALL: 127.0.0.1 sshd: .jp $ sudo vi /etc/host.deny 以下を追加 sshd: ALL
ここで、クライアントからパスワード入力なしで、VPSサーバにログインできることを 確認しましょう。
ファイアウォールは以下のポリシーで設定します。
IPTablesの設定は、/etc/sysconfig/iptablesにあります。
$ sudo /etc/init.d/iptables stop $ sudo /etc/sysconfig/iptables /etc/sysconfig/iptables.org
既存の設定をクリアし、ポリシーに従ってデフォルトのルールを定義します。 ここで、ループバックloのルールをセットするのを忘れないように。
$ sudo iptables -F $ sudo iptables -P INPUT DROP $ sudo iptables -P OUTPUT ACCEPT $ sudo iptables -P FORWARD DROP $ sudo iptables -A INPUT -i lo -j ACCEPT $ sudo iptables -A OUTPUT -o lo -j ACCEPT
インターネットからの接続でプライベートIPアドレスからの接続があれば、不正なアドレスなので破棄します。
$ sudo iptables -A INPUT -s 10.0.0.0/8 -j DROP $ sudo iptables -A INPUT -s 172.16.0.0/12 -j DROP $ sudo iptables -A INPUT -s 192.168.0.0/16 -j DROP
PINGを許可します。 *3
$ sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
$ sudo iptables -A INPUT -d 255.255.255.255 -j DROP $ sudo iptables -A INPUT -d 224.0.0.1 -j DROP
構築するサーバで若干ことなりますが、 ここではSSH, HTTP, Sage用の8000, HTTPS, DNS, SMTP, POP3, SPOP3を許可します。
$ sudo iptables -A INPUT -p tcp --dport 10022 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 53 -j ACCEPT $ sudo iptables -A INPUT -p udp --dport 53 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 8000 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 25 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 465 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 110 -j ACCEPT $ sudo iptables -A INPUT -p tcp --dport 995 -j ACCEPT
既に接続されているコネクションの処理を追加し、設定を保存した後、IPTablesを再起動します。
$ sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT $ sudo /etc/init.d/iptables save $ sudo /etc/sysconfig/iptables /etc/sysconfig/iptables.bak $ sudo /etc/init.d/iptables restart
yumを使ってApacheをインストールした後、必要な設定を行います。
$ sudo yum install httpd $ sudo ln -s /usr/bin/perl /usr/local/bin/perl $ sudo chown -R apache:apache /var/www $ sudo chmod 2775 /var/www/cgi-bin $ sudo mv /etc/httpd/conf.d/welcome.conf /etc/httpd/conf.d/welcom e.conf.org $ sudo mv /var/www/error/noindex.html /var/www/error/noindex.html .org $ sudo vi /etc/httpd/conf/httpd.conf 以下の項目を追加・変更 ServerTokens Prod ServerName サブドメイン名.sakura.ne.jp:80 DirectoryIndex index.php index.html ServerSignature Off
Apacheと同様yumでmysqlをインストールした後、必要な設定をします。
$ sudo yum install mysql.x86_64 mysql-devel.x86_64 mysql-server.x86_64 $ sudo vi /etc/my.cnf 以下を追加 [mysqld] character-set-server=utf8 [client] default-character-set=utf8 [mysql] default-character-set=utf8 [mysqldump] default-character-set=utf8
PHPでは、DBとしてMySQLを想定し、マルチバイト対応とPearのパッケージをインストールします。 *4
$ sudo yum install php $ sudo yum install php-mbstring php-mcrypt php-mysql php-pear $ sudo vi /etc/php.ini 以下を追加・変更 expose_php = off error_log = /var/log/php-errors.log mbstring.language = Japanese mbstring.internal_encoding = UTF-8 mbstring.http_input = pass mbstring.http_output = pass mbstring.encoding_translation = Off $ sudo pear channel-update pear.php.net $ sudo pear upgrade –force PEAR $ sudo pear upgrade-all
皆様のご意見、ご希望をお待ちしております。
