Linux伺服器 Linux伺服器

(CentOS 7) 網站伺服器建置與管理 - 舊版

網站伺服器建置與管理 > 課程內容 > 第 1 堂課 - 伺服器/主機的簡易安全概念與管理

第 1 堂課 - 伺服器/主機的簡易安全概念與管理

上次更新日期 2017/09/12
伺服器一上線，就容易被攻擊啊！所以預設的情況下，你的 Linux 作業系統應該是啟動比較少的網際網路服務比較妥當。 而且，伺服器只要提供相關的服務就好，所以，莫名的軟體越少越好！因此，第一堂課我們就來了解一下，你的 Server 應該如何管理吧！ 另外，第一節課程我們還得要建立帳號、建立操作環境等等，所以會花費不少時間在等待上面喔！因此課程內容相對少一些。
  • 1.1： 課程操作說明
  • 1.2： Linux Server 的基礎防護
  • 1.3： 課後練習

1.1： 課程操作說明

本門課程主要是『網路伺服器建置與管理』(舊稱為 Linux 作業系統) 的進階課程，主要透過 Linux OS 來進行 Internet service 的提供！ 因此，許多的指令操作都是在 Linux 系統上面。本課程主要使用 CentOS 系列產品作為伺服器的基準作業系統。所以，若沒有相關的操作經驗， 本門課程的實施過程中，會比較有壓力！建議下學期先修資傳系『網路伺服器建置與管理』後，再來選修此課程為佳。

本課程的實際上課與作業環境均在雲端虛擬電腦教室的環境下，且為了讓學習者能夠同時掌控 Server 與 Client 的環境，因此每位學生需要有兩個帳號， 其中一個為『學號_server』另一個單純為『學號』的帳號，兩個帳號負責的作業系統內容不太一樣喔，操作時請特別留意。

本課程實際連上雲端系統，主要是透過 gocloud 以及 spice remove viewer 的軟體，學生可以自行從網路下載最新版軟體：

由於有兩個不同的系統在操作，加上你的使用機器共三個作業系統在操作，可能會有些無法掌握的情況，這也是平時系統管理員所會遭遇的狀態！ 所以，慢慢學習！總是會有進步的。另外，本門課程的內容大部份是有延續的，因此，請盡量不要缺課～若有缺課的情況，也請跟同學詢問上課的進度， 跟好進度才好喔！

  • Server/Client 的環境與平時操作

為了模擬正常的系統操作環境，因此本課程在 Server 處僅提供純文字界面，並沒有圖形界面的提供，因此預設的畫面就是黑壓壓一片。 並且 Server 為最小安裝！因此讀者需要花時間去重建自己熟悉的環境 (這也是應該要會的基本技術)。不過如果拿這個畫面來上課， 可能大家都會想死～因為畫面實在是不好讀取 (連廣播或投影都很麻煩)。因此，課程中會使用 client 端的機器啟動圖形界面， 再透過圖形界面來連線到 Server 上！

  • 評分基準

就如首頁談到的，評分就是平時成績 30%、期中考 30%、期末考 40%，每週進度的最後都會有習題，請回家連上雲端虛擬機來練習即可。 而每週練習偵測腳本會放置於本網站的平台上，請下載後處理上傳！

期中考與期末考一樣的動作，可以帶書、帶筆記，但不能帶任何電子產品與影印的文件資料。

1.2： Linux Server 的基礎防護

你的 Linux 作業系統要怎麼安裝？這與你的 Linux 系統使用情況有關。如果是作為 Internet Server 使用，一般建議使用最小安裝來處理較佳。 如果是作為虛擬化伺服器，那一開始就安裝成虛擬化主機即可 (在挑選軟體時可以考慮的安裝方式)。如果是測試機，那安裝具有 GUI 界面的伺服器。

如果想要進一步理解怎麼安裝最小化的 Linux 作業系統，請參考下列連結：

如果你是剛剛接觸 Linux 的新手，那建議先不要上這門課，你應該要先去看看 Linux 基礎學習，等到學的差不多，再回來繼續閱讀底下的文件喔！

  • I. root 慣用環境的建置

大家都會說『工欲善其事，必先利其器』，不過到底要怎麼做啊？呵呵！每個人習慣的作業環境都不一樣，但是某些軟體總是會需要的！ 因此，你得要先將你的 Linux 作業系統搞成你習慣的環境，這樣未來要管理比較方便嘛！

例題 1.2.A：取得虛擬機器的環境
  1. 依據老師寫的資料，請在上課的網站上面註冊兩個帳號，一個是『你的學號_server』，一個是『你的學號』， 注意註冊時，一定要使用正確的姓名，否則老師不會將你的帳號開通的
  2. 主要的伺服器大多使用『你的學號_server』來建置(環境會與一般系統不同)，用戶端系統則主要用『你的學號』來建置
  3. 請使用『你的學號-server』帳號登入，登入後啟動『 LinuxServer-伺服器 』的雲端虛擬機器，開始準備使用系統。
  4. 雲系統的帳號 student, 密碼 student@linux，且具有 sudo 的功能了！

取得上述的資料後，現在請登入該系統，然後操作一下該系統。請注意，該系統為最小安裝，所以幾乎什麼都沒有～ 未來你得要自行慢慢加上所需要的軟體才行！

例題 1.2.B：處理預設的網路環境與相關的操作軟體安裝
  1. 因為預設沒有網路，現在請先以 DHCP 的方式來啟動你這部虛擬機器的網路，同時由於沒有 ifconfig， 所以請使用 nmcli 或者是 ip 來觀察網路即可。
  2. 你有很多軟體還沒有安裝，最重要的就是 vim 以及指令參數補全的功能！所以，請安裝 vim-enhanced 及 bash-completion 軟體。
  3. 使用 yum whatprovides "*sbin/ifconfig" 之類的方式找出你所欠缺的軟體名稱為何？然後直接安裝上去！
  4. (hint)安裝完 bash-completion 之後，你可能需要登出再登入，這樣才會讓 bash 的參數補全功能生效喔！

上個學期我們常用的軟體功能大概就是這些，先完成這些軟體的基礎安裝後，我們比較好處理後續的各項任務啊！ 另外，上面的動作都可以用在未來系統操作過程中，若有些指令不存在系統中時，就是透過上述的方法來安裝使用的。

  • II. 封包進入 Server 的基本流程

如果通過了上述的考驗，那麼我們可以進一步來理解，你該如何防衛你的 Linux 作業系統呢？先來看一下封包進入主機的基本流程圖：

  1. 先要通過 TCP/IP 的相關規範才能夠連線到本機的網路門口
  2. 要先通過防火牆的規則管制，才可以進入到本機使用本機的服務
  3. 能否取得服務與這個服務是否啟用與相關設定有關 (發生問題可以查登錄檔)
  4. 能否實際存取資料，首先要看有沒有啟動 SELinux 這個細部權限設定項目？
  5. 全部都放行後，最後能不能存取資料，還是跟資料檔案的權限 (rwx) 有關！

所以上面就是你在架設 Server 時，需要注意到的各項事情了！

  • III. 防火牆有沒有用？軟體升級有沒有用？設定 chmod 777 會不會出事？

很多網路介紹的文件都不是很清楚，你應該要搭配上一張圖來理解底下的問題：

  1. 防火牆是沒屁用的，對正常提供的服務來說：
    從前一個項目的圖示來看，如果你是 WWW 伺服器，那一定就是要放行 port 80，因此，若 port 80 出問題， 那你的防火牆當然一點用處也沒有。
  2. 防火牆是很有用的，對需要保護的服務來說：
    如果你的服務中，例如 ssh 的服務，僅放行給部份的來源 IP 位址，則此時防火牆保護危險的服務，就很有用處了！
  3. 軟體更新是一定要的，對連上 Internet 的伺服器來說：
    一般來說，軟體如果沒有問題，或沒有加入新功能，是不會隨意升級的。因此，如果官網有公告最新的軟體升級資訊， 當然最好就是一定要升級到最新！至少能夠預防一大堆可能的系統漏洞
  4. 軟體更新是非必要的，對提供給內部特定用途的軟體來說：
    崑山資傳系主要透過自建的 DRBL 搭配 Clonezilla 以及 partclone 再加上 PHP 的功能來進行電腦教室的佈建。 過去曾經因為 clonezilla 不同版本所支援的參數不同，導致 PHP 程式無法順利呼叫 clonezilla 的困擾。鳥哥自己的 cluster 跑模式用 Linux Server， 也因為內部的環境已經建置妥當，而且該系統基本上是不連網的，所以，此時你的系統應該『不要隨便升級』！ 或者是說：『不要隨便升級特定的內部服務軟體』！
  5. 權限設定的理解是基礎中的基礎：
    如果你的網路服務僅提供讀取的功能，那麼即使你的檔案權限放行 777 可能都還不會出事。但是如果你的這個服務設定錯誤呢？ 如果你的這個服務因為漏洞所以被攻破呢？那麼你的檔案如果是 777 ，很好！那就是完全的被拿走了...
  6. 正規伺服器 (沒有自己撰寫怪異的程式腳本)，請一定要啟動 SELinux ：
    SELinux 可以管理網路程序 (本機程序通常不管理)，讓這個網路程序僅能在某些目錄內工作，而且只能進行某些行為， 因此，即使你的這個網路軟體被攻破，而且權限還是 root 時，它還是無法完整的操控你的系統！
  • IV. 伺服器本機的防護：升級到官方最新的軟體版本

升級整個系統就能夠讓系統保有一定程度的安全性：

  1. 找到最近的官網 mirror 網站，崑山校內最簡單的就是 http://ftp.ksu.edu.tw 這個網站了！(hint: 要注意 repodata/ 對不對啊？ 而且請注意輸入的文字大小寫要正確喔！)
  2. 修改 /etc/yum.repos.d/ 這個目錄，可以的話，只加上 base 及 updates 這兩個就好，其他的沒用到暫時不用也無所謂。(hint: 暫時沒用到的，就用 enabled=0 處理，同時，須不需要進行 yum clean all 呢？)
  3. 使用 yum -y update 自動進行全系統升級 (hint: 那個 -y 的用途為何)
  4. 若有升級到核心或重要的函式庫，最好重新開機，才能使用到最新的核心與函式庫功能。
例題 1.2.C：你有時候必須要修改核心參數，有時候也需要管理非正規軟體，該如何處理較佳呢？
  1. 建立一隻每天 2 點會執行的腳本，該腳本會每天持續更新系統。且若有實際更新，才會傳 log 給管理員，否則就不會傳 log 給管理員！ (因為要 mail 給 root，所以需要 mail 這個指令。但是這個指令不存在喔！要怎麼處理安裝才好？)
  2. 假設你需要加入某些核心功能，例如在 /proc/cmdline 加入 intel_iommu=on 要如何處理與觀察？
  3. 如何讓你的 Linux 支援 EPEL 呢？(CentOS 7 似乎沒有提供 epel-release 了！請 google centos7 epel ，找到名為 epel-release 且針對 CentOS 7 版本的 rpm 來安裝即可！)
  4. 請使用 yum 的方式，列出目前啟動當中的 repository 喔！若有發現 epel ，請讓他預設沒有啟用較佳！(可能需要手動編輯 *.repo 喔！)
  5. 請使用 yum 並『暫時使用 epel (意思是，不要修改設定檔，直接使用指令列模式處理)』來查詢有沒有 ntfs-3g 這個軟體？
  6. 若需要透過 epel 提供的 ntfs-3g 來安裝，該如何操作呢？且請問本例題中第一項提到的 2 點鐘更新，會不會讓 ntfs-3g 同步更新呢？
  • V. 伺服器本機的防護：減少網路服務

如果對方想要連接到你的 port 80，但是你的 port 80 根本就沒有啟用埠口在監聽，那麼對方無論如何是無法連接到你的服務的！ 所以減少網路服務是很重要的！ (底下會用到的軟體，如果不存在的話，請自行使用 yum whatprovides "*bin/???" 找到軟體後自行安裝！)

  1. 可使用 netstat -utlnp 來查詢自己本機所啟動的服務
  2. 可使用 nmap IP 來查詢某個 IP 有啟動的 TCP 埠口有哪些 (不可隨意攻打別人)
  3. 可使用 nmap -sTU IP 來查詢某個 IP 啟動的 TCP/UDP 埠口
  4. 可使用 nmap -sP network/netmask 來查詢整個網域有啟動的 IP 位址共有哪些
例題 1.2.D： 將你的 Linux server 當中的網路服務關閉到只剩下系統至少需要的 port 22 及 port 25 即可 (不過，如果使用 dhcp 用戶端模式，則可能會再多出幾個必要的 port 喔！)
  1. 先用 netstat 檢查一下本機有啟動的網路埠口共有哪些？
  2. 先自己分析一下，哪些是需要的埠口？哪些是不需要的埠口？
  3. 透過 systemctl 關閉不要的埠口，且下次開機，這些埠口也不會啟用！
  4. 使用 nmap 搭配 icmp (-sP) 的功能，來找到你的外部網域的區網有哪些 IP 是開機著的！

再次說明，那個 nmap 是一個駭客軟體，主要的目的在做 port 掃描。你可以自行使用 nmap 去攻擊自己，掃描自己 server 的漏洞， 但是不要去攻擊別人啊！

1.3： 課後練習

  1. (100%)請使用自己的學號那個帳號登入雲端電腦教室系統，進行 Linux 作業系統的期末考題目，再次確認一次你的 Linux 基礎觀念！ 並依據題目的需求，自行上傳考試結果。請在老師規定的時間點前完成題目。