インストール
インストール情報はたくさんありますのでここでは割愛します。
ここでは、VMWare Fusion上にCentOS6.5をMinimalインストールしたことを前提に進めます。
VMWare Fusionの問題１
特に注意点はないが、VMWare Fusionにminimalインストールするとネットワークが有効にならないので、インストールの途中でネットワークが自動起動するように設定しておくと手間が無い。
もし、忘れた場合は、手動でeth0を設定する。
VMWare Fusionの問題２
VMWare FusionでVMをコピーし、MACアドレスを再生成、起動したら、なぜかeth0が認識されません。
代わりにeth1やeth2が認識され、かつ、使用できません。
下記のようにやると解決できるようです。
/etc/udev/rules.d/70-persistent-net.rulesの編集
/etc/udev/rules.d/70-persistent-net.rulesをviで開き、今認識されているインターフェース以外の記述行を削除します。
認識されているインターフェース名をeth0に書き換えます。この時、MACアドレスを控えておきます。
/etc/sysconfig/network-scripts/ifcfg-eth0の編集
ここのMACアドレスを上記で控えたものに書き換えます。
再起動すればeth0を認識しています。参考。
基本設定１
基本設定１としては、
- SELinuxの解除
- 必要ツールのインストール
- ユーザーの追加
- sudo設定
- sshのログイン設定
を行う。
なお、以下の操作は特に注意が無い限りルート権限で行うものとします。
SELinuxの解除
SELinuxがON(enforcing)になっていると設定等がきかないことが起こるので、OFFにしておく。
vi /etc/selinux/config
とし、
-SELINUX=enforcing
+SELINUX=disabled
とする。
getenforce
でDisabledとでればOKです。
必要ツールのインストール
Minimalインストールでは以降の手順で必要なツールがインスイトールされていません。
個別にインストールしてもいいのですが、Development toolsをインストールしておけば問題ないので、そうします。
yum groupinstall 'Development tools'
一般ユーザーの追加
ユーザーの追加
必要な一般ユーザーを作成しておきます。
useradd hoge
passwd hoge
sudo権限の付与
一般ユーザーで設定作業ができるように追加したユーザーにsudoが可能な権限を与えておきます。
まず、wheelグループへのsudo許可を有効にます。
visudo
として、設定ファイルを起動し、
-# %wheel ALL=(ALL) ALL
+ %wheel ALL=(ALL) ALL
wheelに関する行をコメントインします。
完了したら、今度はsudo権限を与えたいユーザーをwheelグループに参加させます。
gpasswd -a hoge wheel
適当なコマンドでsudoできるかチェックして下さい。正しく設定したのにsudo出来ない場合は、一度ログアウトして再ログインして見てください。
SSHログイン設定（証明書のみでのログインを許可）
CentOS6.5はMinialインストールでもsshは許可状態になっていますが、パスワードによるログイン、およびルートログインが許可された状態なので、証明書を利用したsshログインのみを許可する設定にします。
・鍵の生成
ローカル環境がMacだということを前提に進めます。
homeディレクトリに.sshを作成し、その中で鍵を生成します。
mkdir ~/.ssh
chmod 700 .ssh
cd .ssh
keygen -t rsa
標準設定のままEnterを押せばいいでしょう。パスフレーズは空でも設定してもいいです。
設定が完了すると、.sshの中に
- id_rsa（秘密鍵）
- id_rsa.pub（公開鍵）
の2つのファイルができます。この内、公開鍵をサーバに転送します。
転送の前に、両鍵に正しいパーミッション設定をしておきます。
chmod 600 ~/.ssh/*
鍵を保存するフォルダ、ファイルに正しいパーミッションを設定していないと接続時にエラーになります。
・鍵の転送
転送に先立ち、サーバ側で保存先を作成し、パーミッションを設定しておきます。
mkdir ~/.ssh
chmod 700 .ssh
sshが使える状態なので、scpにてサーバに鍵を転送します。
scp ~/.ssh/id_rsa.pub username@192.168.0.100:~/.ssh/authorized_keys
usernameやIP（サーバ名）は適宜変更して下さい。
転送が完了したら、ログインのテストを行って下さい。標準のまま鍵を転送し、かつ、ユーザー名がローカルと一致している場合は、
ssh 192.168.0.100
とするだけでOKです。
ポート名、鍵の場所（名前）、ユーザー名が違う場合は、
ssh -p 6666 -i ~/.ssh/hoge_id_rsa hoge@192.168.0.100
などとします。
・鍵以外のログインの禁止
sshdの設定を変更して、鍵以外、ルートログインを禁止します。
そのためには/etc/ssh/sshd_configを編集します。変更点は、
- PasswordAuthentication no
- PermitRootlogin no
とする感じです。Portも必要に応じて変えてもいいです。
変更したら、sshdを再起動します。
service sshd restart
ssh root@192.168.0.111などとし、拒否されることを確認して下さい。
基本設定２
基本設定２では、Firewallであるiptablesの設定をしてみたいと思います。
また、そのテストのためにhttpd(Apache)だけインストールしてみます。
iptablesの有効/無効化
問題の切り分け時に一時的にFirewallをOFFにしたい時があります。その場合は、
service iptables stop
でOKです。恒久的にOFFにする場合は、
chkconfig iptables off
とします。
設定内容の確認
設定内容は、/etc/sysconfig/iptablesを見ればいいのですが、
iptables -L -v --line-number
とするのが私の好みです。
- -Lは表示。
- --line-numberは行番号を表示（追加、削除の際に使う）。
- -v インターフェースとかも表示したいので。
初期状態では、下記のようになっている模様。
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 35 3092 ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
2 0 0 ACCEPT icmp -- any any anywhere anywhere
3 0 0 ACCEPT all -- lo any anywhere anywhere
4 0 0 ACCEPT tcp -- any any anywhere anywhere state NEW tcp dpt:ssh
5 66 13068 REJECT all -- any any anywhere anywhere reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 REJECT all -- any any anywhere anywhere reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 20 packets, 2680 bytes)
num pkts bytes target prot opt in out source destination
普通にWebサーバとかを立てて外部からのアクセスをコントロールしたい場合は、INPUT Chainだけ気にしていればいい。
ルールの追加（80番ポート許可）
では、httpdをインストールして、外部からのアクセスを許可してみたい。
httpdのインストール（と起動、永続化）
以下の操作をルートで行う。
yum install httpd
service httpd start
chkconfig httpd on
http//hostname or ip/
でApacheの画面が見えないことを確認する。
iptablesの設定
いつもは/etc/sysconfig/iptablesを直接編集してましたが、ここではコマンドを使ってみます。
iptables -I INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT
意味は、
- -Iは最上位に追加、-Aだと末尾に追加となる。
- 標準で、INPUT chainの末尾には全拒否が付与されているので、その上に追加しないと適用されない。
- -m stateは--state NEWを使用するためにstateモジュールを読み込んでいる。
- --state NEWは、新規接続の判断。
iptableでは上の記述ほど優先度が高い。上からマッチしたものが適用される。
内容の保存と再起動
service iptables save
service iptables restart
Apacheの画面が見えるか確認します。
ルールの削除
番号で行うのが一番早い。（削除前に--line-numberで番号を確認する）。
そして、iptables -D で指定する。
iptables -D INPUT 1
MySQLの許可
レプリケーション時等にMySQLのポートも開けておく必要がある。その場合は、
iptables -I INPUT -m state --state NEW -p tcp --dport 3306 -j ACCEPT
とする。
レプリケーションの場合-sで、接続元（スレーブ）のみを許可した方がいいでしょう。
iptables -I INPUT -s 192.168.0.100 -m state --state NEW -p tcp --dport 3306 -j ACCEPT
全ルールのリセット
iptables -F
で全ルールをリセットできるようです。
サーバ類のインストール
Apache
インストール
既に説明しましたが、
yum install httpd
service start http
chkconfig httpd on
とするだけです。
設定
/etc/httpd/conf/http.confはいじればきりがないですが、
- IndexesのOFF
- .htaccessの許可
くらいはやっておいたほうが後のトラブルが少ないでしょう。
設定反映にはhttpdを再起動して下さい。
PHP
インストール
標準のPHP5.3.3でよければ、
yum install php php-devel php-mysql php-mbstring php-gd
という感じでいいと思います。あとはお好みで。
設定
/etc/php.iniの設定としては、
- date.timezone=Asia/Tokyo
- display_errors=On
とておいた方が何かといいでしょう。設定変更後は、httpdの再起動をお忘れなく。
MySQL
CentOS6.x系ではMySQL5.1.x系です（CentOS7からはMariaDB5.5.x系のようです）。
インストール
yum install mysql-server
service start mysqld
chkconfig mysqld on
となります。ユーティリティーやらクライアントやらもありますが、とりあえずはサーバーのみ。
設定
通常私がしたいDBの基本設定は、
- 文字コードをUTF-8に。
- 標準DBはInnoDBに。
- DB毎にファイルを作成。
あたりで、かつPHPアプリ等からの文字化けを防ぐために、
- skip-character-set-client-handshakeの追加
- [client]にdefault-character-set=utf8の追加
を行います。
[mysqld]
+character-set-server=utf8
+default-storage-engine=InnoDB
+innodb_file_per_table
+skip-character-set-client-handshake
+[client]
+default-character-set=utf8
5.5.3から、[mysqld]でdefault-character-set=utf8は使えなくなったようです。
逆に、5.1.x系でもcharacter-set-server=utf8は使えるようです。
必要に応じて
[mysqld]
server-id=101
log-bin=mysql-bin
set-variable=expire_logs_days=3
[mysql]
default-character-set=utf8
[mysqldump]
default-character-set=utf8
なども設定します。