Zaščita strežnika

Če gre ves promet na strežnik izključno prek protokola TCP, je ena varianta, da inštaliraš strežnik SSH (najverjetneje je že inštaliran), ga popatchaš in še dodatno "utrdiš" po napotkih, nato s firewallom dopustiš prihajajoči promet izključno na SSHjev port (privzeto 22), če si paranoičen in če je izvedljivo, lahko dovoliš promet samo z določenih IP naslovov. Na strežniku moraš še omogočiti t.i. port forwarding (oz. posredovanje le določenih vrat), nato odjemalci vzpostavijo SSH povezavo na tvoj strežnik (če so na Windows, je treba uporabiti brezplačna Putty, Tunnelier ali kaj podobnega, na Unixu podobnih OS je tekstovni odjemalec najverjetneje že privzeto nameščen) in pri sebi skonfigurirajo port forwarding. Namesto da bi se odjemalci povezovali neposredno na tvoj strežnik, se bodo morali na nek port na odjemalcu, ki bo stvar po varnem SSH kanalu prenesel na strežnik, od tam pa bo šlo kamorkoli že. Prek SSH deluje tudi varen prenos datotek SFTP, ki se ga tudi sicer priporoča namesto FTP (tudi tekstovni odjemalec je zelo podoben kot pri FTP), kadar želiš dati dostop samo uporabnikom z računi na strežniku. Nekateri odjemalci SSH imajo tudi t.i. FTP-SFTP most, pri sebi poženejo FTP strežnik, ki nato datoteke prek SFTP prenese na ciljni strežnik.

Če ti omejitev samo TCP povezav ne ustreza, lahko postaviš OpenVPN in spet na strežniku dovoliš promet samo na en port (ne vem na pamet, kateri je privzet). V tem primeru morajo tudi odjemalci pri sebi namestiti OpenVPN in vzpostaviti varno zasebno omrežje.

Upam, da ni prekomplicirano

SSH je inštaliran, požarni zid je tudi - odprti le porti, ki se jih dejansko uporablja. Se pravi, da če imam to dvoje, bo strežnik načeloma dovolj varen?

Glede FTPja bi rad dejansko imel to kar sem že napisal. Se pravi, me zanima še to dvoje:

Zanima me še, kater FTP software naj naložim, da bom lahko konfiguriral stvar tako, da vsakemu uporabniku določim svojo mapo do katere preko FTPja dostopa?
V zvezi z zgornjim vprašanjem, me zanima kako naj naredim, da bodo v prihodnje mape odprte tako, da uporabnikom načeloma ne bo potrebno preurejevati pravic datotek/map?

Hvala!

Sem sprobaval, vendar vsakič dobim error - da ni druge mogoče metode prijave, nato pa v oklepaju nekaj s publickey. Sem generiral s puttygenom in ustvaril mapo .ssh z authorized_keys datoteko, spremenil precej nastavitev, vendar stvar ni delovala. Nastavil sem še denyhosts, ker mi tole s ključi ni delalo, bo to dovolj glede na to, da mi nikakor ne uspe nastavit teh ključev?

Zanima me še, kater FTP software naj naložim, da bom lahko konfiguriral stvar tako, da vsakemu uporabniku določim svojo mapo do katere preko FTPja dostopa?
V zvezi z zgornjim vprašanjem, me zanima kako naj naredim, da bodo v prihodnje mape odprte tako, da uporabnikom načeloma ne bo potrebno preurejevati pravic datotek/map?

Se pravi da potem ne potrebujem DenyHosts, saj fail2ban ščiti tudi SSH poleg ostalih modulov?

Hvala, bom poskusil.

Zanima me še vedno glede DenyHosts, če ga kar izbrišem pred namestitvijo fail2ban?
Poleg tega pa me zanima še kako nastavite FTP in apache, da stvar z vsakim novim uporabnikom kreira dostop do svoje public_html mape?

Hvala!

Kot je prvi odgovor.

SSH reši vse.

Kot sem že zgoraj napisal - uporabi SSH ključe. Raznih tutorialov in how-to-jev je polno, ni drugega kot da si vzameš čas in prebereš. Vsega skupaj, po spominu rečeno, je manj kot 10 stvari za nastavit.
Sam se moraš odločit kaj zate sploh pomeni varnost. Če nočeš uporabiti ključev pa zamenjaj vsaj SSH port na kaj drugega kot 22.

*edit: v tvojem primeru se boš ukvarjal le z generiranjem ključev in ne certifikatov kot sem omenil v prejšnem postu.

Hvala, mi je uspelo vse skupaj namestiti in skonfigurirati.

Edina stvar, ki me sedaj zanima je še, kako imate vi urejeno tisto s FTPjem in nalaganjem datotek?

Hvala!

Sem našel odgovor na svoje vprašanje - rešitev je Apache2 mod UserDir.

Potrebujem pa še omejiti dostop uporabnikom v mapo public_html in da ne bodo mogli dostopati izven te mape.
Sedaj me zanima še kaj naj raje uporabim - proftpd ali vsftpd?

Hvala!

Hvala!

Sem sedaj zrihtal celotno zadevo, glede omejevanja ssh, ftp, ... na svoj IP pa ne bo šlo, ker imam namen te storitve uporabljati na več lokacijah (pravtako ne morem zakleniti IPja na teh lokacijah). Kolikor gledam webmin sploh ni tako potraten, tako da ga imam namen imeti kar prižganega, v primeru da bo potrebno dodati kakšnega uporabnika ali kaj takega.

Imam še eno vprašanje glede upravljanja domen. Zanima me kako bi spremenil hostname računalnika na določen IP (tisti preko katerega je server tudi dostopen), da bi bilo možno pošiljati in prejemati pošto. Kasneje imam namen povezati še domeno, katero bi potem zamenjal za IP (tako kot bi sedaj hostname za IP), kako pa to poteka pa sem si že pogledal. Je torej možno zaenkrat zamenjati hostname za IP?

Hvala!

P.S.: No ja.. spomnil sem se, da mi nekaj glede ProFTPDja še ni uspelo. Direktorij dostopa bi rad zaklenil na public_html (v /home/user/ mapi), vendar mi to pri navadnih uporabnikih ne uspe. Deluje na glavnem uporabniku (ne root), na navadnih pa ne, kljub temu da sem se precej ukvarjal z zadevo. Mogoče kdo ve kaj bi moral narediti poleg tega da pri DefaultRoot nastavim ~/public_html?

Zanima me še, če registrarja kontaktiram preko e-pošte (oz. nekaj podobnega) ali je to podobno kot pri shared hostingu - kupiš domeno, jo nastaviš v nastavitvah, enako narediš za hosting?

S čim potem povežem domeno na server in kako delam poddomene?

Hvala!