下記のような３層構造の環境を作成するのに必要な
サーバーの基本的なセキュリティ設定です。

まだ下書きですが、とりあえず公開しました。

リバースプロキシ（DNSサーバーの機能も持つ）
　　　| 172.16.0.0/24
WEB ー　WEB
　　　| 192.168.0.0/24
　　　DB

##ログインユーザーのセキュリティ設定

初期インストールされたパッケージをアップデート

`$ sudo yum upgrade

upgradeにすると、セキュリティ更新等で不要になったモジュールを削除してくれる

ログインユーザー（deploy01）の作成

$ useradd deploy01
$ passwd  deploy01

deploy専用グループを作成

$ groupadd deploy

deploy01をdeployグループに所属させる

$ usermod –G deploy deploy01

deployグループはapachectlのみNOPASSWORDする

visudo

## Same thing without a password
%deploy ALL=(ALL)       ALL,NOPASSWD:/usr/sbin/apachectl

deployとwheelグループのみsuコマンドを実行許可する。
下記行を追加

/etc/pam.d/su

auth  required pam_wheel.so use_uid group=deploy

rootユーザーのSSHログインを無効にする

/etc/ssh/sshd_config

PermitRootLogin no

SSHのポートを狙った攻撃を回避するため、ポート番号を変更する。
Portの後ろに変更したいポート番号を入れる

/etc/ssh/sshd_config

Port 46497

※4桁はアプリケーションサーバーのポートと被る可能性があるため、５桁以上が推奨

SSHの変更を有効にするため、SSHの設定をreloadする

$ /etc/init.d/sshd reload

##ホスト名の設定

ログインしたときにSHELLの表示がユーザー名@ホスト名にする

各サーバーのhostsにホスト名を先頭に追加（下記コードはrp01の場合）

127.0.0.1   rp01 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         rp01 localhost localhost.localdomain localhost6 localhost6.localdomain6

NETWORKING=yes
HOSTNAME=rp01

設定が終わったらネットワークをreload

# service network reload

再度ログインし直すと、反映されている

[deploy01@rp01 ~]$

###ファイアウォールの設定

リバースプロキシ（rp01）のファイアウォール設定

外部パケットはicmp、http、https、ssh（ポートは46497）、DNSのみ許可

/etc/sysconfig/iptables

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
# allow port(SSH,http,https,DNS)
-A INPUT -m state --state NEW -m tcp -p tcp --dport 25081 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80  -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
-A INPUT -m state --state NEW -m udp -p udp --dport 53  -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

WEBサーバー（web01、web02）の設定

172.16.0.0/24のローカルネットワークのみ、apacheへの通信許可
外部パケットはsshとicmpのみ許可

/etc/sysconfig/iptables

*filter
:INPUT ACCEPT [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
#------------------------------------------------------
# 80は本番環境（prod）のサイト表示
# 10000はテスト環境（test）のサイト表示
#------------------------------------------------------
-A INPUT -s 172.16.0.0/24 -p tcp --dport 80   -j ACCEPT
-A INPUT -s 172.16.0.0/24 -p tcp --dport 10000 -j ACCEPT
#------------------------------------------------------
# SSHを許可
#------------------------------------------------------
-A INPUT -m state --state NEW -m tcp -p tcp --dport 46497 -j ACCEPT
#------------------------------------------------------
# 上記に設定していないポートの接続処理を遮断
#------------------------------------------------------
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

DBサーバー（db01）の設定

172.16.0.0/24と192.168.0.0/24のローカルネットワークのみ、SSHとMYSQL接続を許可
外部パケットはicmpのみ許可

*filter
:INPUT ACCEPT [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
#------------------------------------------------------
# ローカルネットワークのみSSHとMySQL接続を許可
#------------------------------------------------------
-A INPUT -s 172.16.0.0/24  -p tcp --dport 46497 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -p tcp --dport 46497 -j ACCEPT
-A INPUT -s 172.16.0.0/24  -p tcp --dport 3306  -j ACCEPT
-A INPUT -s 192.168.0.0/24 -p tcp --dport 3306  -j ACCEPT
#------------------------------------------------------
# 上記に設定していないポートの接続処理を遮断
#------------------------------------------------------
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
COMMIT

iptablesの設定をリロードして反映

#service iptables relaod;

MySQLのインストール

rp01（DNSサーバー用として使う）

$ yum install mysql mysql-devel mysql-server

web01、web02（rails用にインストール）

$ yum install mysql mysql-devel

db01（mysqlデータベース用）

$ yum install mysql mysql-server

mysqlの設定

以下をサーバー4台全てに設定する

mysqlの設定ファイルをバックアップする

$ sudo cp /etc/my.cnf /etc/my.cnf.org

MySQLの設定ファイルをバックアップ

$ sudo cp /etc/my.cnf /etc/my.cnf.org

MySQLの設定ファイルを下記のように設定

/etc/my.cnf


[mysqld]
character-set-server = utf8
skip-character-set-client-handshake
datadir=/var/lib/mysql
socket=/var/lib/mysql/mysql.sock
user=mysql
symbolic-links=0

innodb_buffer_pool_size = 512MB # サーバのメモリ70〜80%
innodb_log_file_size = 100MB # 100-500MB程度
innodb_flush_log_at_trx_commit = 2

[mysqld_safe]
log-error=/var/log/mysqld.log
pid-file=/var/run/mysqld/mysqld.pid

rootのパスワード設定

$ sudo mysqladmin -u root password 'パスワード'

mysql-serverをインストールしている
rp01とdb01のみMySQLの自動起動をONにする

$ sudo service mysqld start
$ sudo chkconfig mysqld on

MySQLにログインし、不要なユーザーとデータベースを削除する

$ mysql -u root -p ****

mysql ＞ use mysql;
mysql ＞ select user,password, host from user;
+------+-------------------------------------------+-------------------------+
| user | password                                  | host                    |
+------+-------------------------------------------+-------------------------+
| root | *hogehogehogehogehogehogehogehogehogehoge | localhost               |
| root |                                           | hogehogehogehogeh.ne.jp |
| root |                                           | 127.0.0.1               |
|      |                                           | localhost               |
|      |                                           | hogehogehogehogeh.ne.jp |
+------+-------------------------------------------+-------------------------+
mysql　＞ DELETE FROM user WHERE user = '' OR ( user = 'root' AND host != 'localhost' );
Query OK, 4 rows affected (0.00 sec)

mysql　＞ select user,password, host from user;
+------+-------------------------------------------+-----------+
| user | password                                  | host      |
+------+-------------------------------------------+-----------+
| root | *hogehogehogehogehogehogehogehogehogehoge | localhost |
+------+-------------------------------------------+-----------+
1 row in set (0.00 sec)

続いて、不要なデータベースを削除

mysql ＞ show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| test               |
+--------------------+
3 rows in set (0.00 sec)

mysql＞ DROP DATABASE test;
Query OK, 0 rows affected (0.00 sec)

文字セットの確認

show variables like 'character_set%';
# ↓ のようになっていれば成功
+--------------------------+----------------------------+
| Variable_name            | Value                      |
+--------------------------+----------------------------+
| character_set_client     | utf8                       |
| character_set_connection | utf8                       |
| character_set_database   | utf8                       |
| character_set_filesystem | binary                     |
| character_set_results    | utf8                       |
| character_set_server     | utf8                       |
| character_set_system     | utf8                       |
| character_sets_dir       | /usr/share/mysql/charsets/ |
+--------------------------+----------------------------+
8 rows in set (0.00 sec)

###アプリケーション用データベースを作成

※db01のサーバーで作業・設定する

rails用のデータベースを追加

mysql > create database app;
mysql > create database app_test;
mysql > create database app_dev;

rails用ユーザーを追加

GRANT ALL ON app.* TO ‘deploy’@‘192.168.0.0/255.255.255.0’ IDENTIFIED BY ‘xxx（パスワードを記入）’;

ログイン出来るか確認

# mysql -u deploy -p -h localhost

mydns（DNSサーバー）のインストール

mydnsとは？

DNSの管理がMySQLのデータベースで可能

使用目的

SSH接続のホスト名解決に使う

インストール手順

※インストールはrp01で行います。

mydnsをダウンロードするためのリポジトリを追加

# rpm -Uvh http://dl.fedoraproject.org/pub/epel/6/x86_64/epel-release-6-8.noarch.rpm

mydnsパッケージのインストール

# yum install mydns mydns-mysql mysql mysql-devel mysql-server -y

mysqlにログインし、mydns用データベースを作成

mysql > create database mydns;

ターミナルから下記コマンドを実行し、mydns用のデータベースを追加

$ mydns --create-tables | mysql -u root -p mydns

mysqlにログインし、mydns用のテーブルができているか確認

mysql > use mydns;

Database changed
mysql> show tables;
+-----------------+
| Tables_in_mydns |
+-----------------+
| rr              |
| soa             |
+-----------------+

mydns用のユーザーを作成する。
※データベースmydnsに対して、全ての権限を持ったユーザー（全てのホストからのアクセス許可）

GRANT ALL ON mydns.* TO ‘mydns’@‘localhost’ IDENTIFIED BY ‘mydns’;
Query OK, 0 rows affected (0.01 sec)

DNSゾーンとレコードの作成

※ネットワーク名をconoha.localにする
※xxx.xxx.xxx.xxxはホスト名ごとのグローバルIPアドレス

mysql> insert into soa (origin, ns) values ('conoha.local.','ns.conoha.local');
Query OK, 1 row affected, 1 warning (0.00 sec)

mysql> insert into rr (zone, name, type, data) values(1, 'rp01',   'A', 'xxx.xxx.xxx.xxx');
Query OK, 1 row affected, 1 warning (0.00 sec)

mysql> insert into rr (zone, name, type, data) values(1, ‘web01',   'A', 'xxx.xxx.xxx.xxx');
Query OK, 1 row affected, 1 warning (0.00 sec)

mysql> insert into rr (zone, name, type, data) values(1, ‘web02’,   'A', 'xxx.xxx.xxx.xxx');
Query OK, 1 row affected, 1 warning (0.00 sec)

mysql> insert into rr (zone, name, type, data) values(1, ‘db01’,   'A', 'xxx.xxx.xxx.xxx');
Query OK, 1 row affected, 1 warning (0.00 sec)

mysql> select * from rr;
+----+------+-------+---------------+-----+-------+------+
| id | zone | name  | data          | aux | ttl   | type |
+----+------+-------+---------------+-----+-------+------+
|  1 |    1 | rp01  | xxx.xx.xxx.xx  |   0 | 86400 | A    |
|  2 |    1 | web01 | xxx.xx.xxx.xxx |   0 | 86400 | A    |
|  3 |    1 | web02 | xxx.xx.xxx.xxx |   0 | 86400 | A    |
|  4 |    1 | db01  | xxx.xx.xxx.xxx |   0 | 86400 | A    |
+----+------+-------+---------------+-----+-------+------+

mysql > select * from soa;
+----+---------------+-----------------+------+--------+---------+-------+--------+---------+-------+
| id | origin        | ns              | mbox | serial | refresh | retry | expire | minimum | ttl   |
+----+---------------+-----------------+------+--------+---------+-------+--------+---------+-------+
|  1 | conoha.local. | ns.conoha.local |      |      1 |   28800 |  7200 | 604800 |   86400 | 86400 |
+----+---------------+-----------------+------+--------+---------+-------+--------+---------+-------+
1 row in set (0.00 sec)

ホスト名で通信したいすべてのサーバーで下記を設定

xxx.xxx.xxx.xxxはrp01のグローバルIPアドレス

/etc/resolv.conf

search conoha.local
nameserver xxx.xxx.xxx.xxx

mydnsのconfファイルに先ほど作ったmydns用ユーザー情報を追加

/etc/mydns.conf

db-host = localhost             # SQL server hostname
db-user = mydns                 # SQL server username
db-password = mydns             # SQL server password
database = mydns                # MyDNS database name

mydnsを起動

$ service mydns start

設定したホスト名でpingが通るか確認

ping web01