在本文中，小編將分享網(wǎng)絡(luò )服務(wù)器安裝和配置的基本技巧。在實(shí)際環(huán)境中部署服務(wù)器之前，請遵循以下步驟以確保其安全。盡管每個(gè)Linux發(fā)行版各不相同，但其基本概念本質(zhì)上是相同的。完成此配置后，我們的服務(wù)器將得到很好的保護，免受常見(jiàn)的安全威脅。

網(wǎng)絡(luò )服務(wù)器安裝和配置的基本技巧

1、設置互聯(lián)網(wǎng)協(xié)議 (IP)

為了它可以建立互聯(lián)網(wǎng)連接，我們必須首先為服務(wù)器提供ip地址和主機名。大多數服務(wù)器將需要我們使用靜態(tài)ip地址以確?？蛻?hù)可以從一致的位置訪(fǎng)問(wèn)資源。如果我們的網(wǎng)絡(luò )使用VLAN，請考慮服務(wù)器網(wǎng)段的隔離程度以及它在更廣泛的網(wǎng)絡(luò )結構中的位置。

如果不需要IPv6，請將其關(guān)閉。應小心指定服務(wù)器配置的名稱(chēng)、域和 DNS服務(wù)器信息?！皀slookup（類(lèi)Unix操作系統命令）”應該用于驗證名稱(chēng)解析是否在兩個(gè)或多個(gè)DNS服務(wù)器上正常工作。

2、用戶(hù)偏好

在繼續之前，我們必須先更新服務(wù)器上的根密碼。我們的密碼應包括大小寫(xiě)字母以及數字、符號和標點(diǎn)符號的組合。如果密碼不包含至少八個(gè)字符，則本地使用的帳戶(hù)的歷史記錄、鎖定和復雜性要求可能會(huì )受到影響。需要更高權限的用戶(hù)應該被授予sudo訪(fǎng)問(wèn)權限，作為替代用戶(hù)，而不是依賴(lài)root用戶(hù)。

3、套餐

在設置服務(wù)器時(shí)，無(wú)論出于何種原因，安裝未包含在分發(fā)版中的任何我們需要的額外軟件。PHP、NGINX、MongoDB 以及pear等各種配套工具是最常用的軟件包。較小的服務(wù)器占用空間將消除不再需要的軟件，因此，從服務(wù)器中刪除不需要的包將有利于提高性能。如果我們很快再次需要它們的專(zhuān)門(mén)服務(wù)，使用我們的發(fā)行版的包管理系統可以很容易地重新安裝它們。

4、防火墻和iptables

即使默認的iptables設置沒(méi)有打開(kāi)您需要的端口，仔細檢查設置以確保它們正確始終是個(gè)好主意。為了讓我們的服務(wù)器保持良好運行，應該只打開(kāi)必要的端口。如果防火墻保護我們的服務(wù)器，請考慮阻止除最關(guān)鍵流量之外的所有流量。即使我們的iptables/防火墻默認配置為受限，也請記住打開(kāi)我們的服務(wù)器配置所需的一切。

5、安裝和配置

仔細檢查以查看是否必須更新任何已安裝的服務(wù)器軟件包。因此，跟上最新的內核和默認軟件至關(guān)重要。如有必要，可以使用早期版本，但我們建議使用最新版本，因為它更安全。為希望保持軟件最新的個(gè)人提供了自動(dòng)更新機制。

安裝必要的軟件包后，我們必須將服務(wù)器的軟件保持在最新?tīng)顟B(tài)。我們添加的所有內容，包括內核和任何預配置的設置。始終使用最新的生產(chǎn)版本以確保系統安全。在絕大多數情況下，將提供我們的包管理系統支持的最新版本。我們應該在包管理工具中為自己在此服務(wù)器上托管的服務(wù)設置自動(dòng)更新。

6、設置NTP協(xié)議

我們的服務(wù)器時(shí)間可以使用NTP服務(wù)器同步，是否要使用每個(gè)人都可以訪(fǎng)問(wèn)的外部NTP時(shí)間服務(wù)器取決于自己。最重要的是保持服務(wù)器時(shí)鐘不偏離實(shí)際時(shí)間。例如，由于服務(wù)器和驗證它們的基礎設施之間的時(shí)間偏差，可能會(huì )出現驗證問(wèn)題。盡管看起來(lái)很簡(jiǎn)單，但必須仔細維護這一關(guān)鍵基礎設施。

7、增加服務(wù)器配置的SSH安全性

就像Windows有一個(gè)命令行界面一樣，Linux也有一個(gè)。SSH是一種流行的登錄Linux系統以進(jìn)行管理的方法。作為一項安全預防措施，請確保限制root用戶(hù)的SSH訪(fǎng)問(wèn)可以防止遠程攻擊。

此外，如果一組特定的用戶(hù)或客戶(hù)端使用我們的服務(wù)器，可以限制對某些ip地址的訪(fǎng)問(wèn)。更改默認的SSH端口號可以保護我們免受黑客和罪犯的侵害，因為簡(jiǎn)單的掃描可能會(huì )顯示我們的開(kāi)放端口。服務(wù)器的配置并不像我們想象的那么復雜，但確實(shí)需要非常注意細節以提供最高級別的安全性。使用基于證書(shū)的身份驗證和禁用密碼身份驗證是防止SSH攻擊的最佳方法。

8、守護進(jìn)程設置和配置

刪除所有軟件包后，請確保將必要的應用程序設置為在我們重新啟動(dòng)時(shí)自動(dòng)啟動(dòng)。為避免不必要的守護進(jìn)程，請務(wù)必停用它們。盡可能減少服務(wù)器的活動(dòng)足跡，只留下應用程序所需的攻擊面區域。所有剩余的服務(wù)都應該盡可能加固，以確保長(cháng)期穩定。

9、使用SELinux和其他工具保護您的系統

Secure Linux (Security-Enhanced Linux)是Linux內核的強化工具，讓管理員可以更好地控制誰(shuí)可以訪(fǎng)問(wèn)他們的服務(wù)器。它是SELinux、Secure Linux (SELinux)的真實(shí)實(shí)現。請使用狀態(tài)實(shí)用程序確定我們的系統是否正在運行SELinux。如果大家收到一條通知說(shuō)SELinux正在保護我們的數據，那么就是安全的。嚴格來(lái)說(shuō)，“禁用”一詞意味著(zhù) SELinux不再處于活動(dòng)狀態(tài)，不再保護我們與服務(wù)器配置有關(guān)。

例如，Linux發(fā)行版依賴(lài)于MAC（強制訪(fǎng)問(wèn)控制）。它是防止未經(jīng)授權訪(fǎng)問(wèn)我們的計算機資源的防御措施。最好在啟用SELinux的情況下測試您的設置，以確保沒(méi)有任何合法內容被阻止。MySQL和Apache等其他應用程序可能會(huì )以各種方式得到強化。

10、記錄

在安裝該程序之前，請確保我們需要的日志記錄級別已啟用并且具有處理它的資源。創(chuàng )建日志記錄結構后，我們將需要對該服務(wù)器進(jìn)行故障排除，這是現在開(kāi)始的絕佳時(shí)機。大多數應用程序都允許自定義日志記錄設置，但在數據過(guò)少和過(guò)多之間取得適當的平衡可能需要進(jìn)行試驗。存在許多第三方日志記錄系統，它們可以幫助處理從數據聚合到數據呈現的任何事情，但必須首先考慮每個(gè)環(huán)境的需求。之后，您將能夠更好地找到所需的裝備。

一開(kāi)始，應用這些程序可能需要一些時(shí)間。應建立初始服務(wù)器設置策略以確保新計算機在我們的環(huán)境中的長(cháng)期生存能力。如果我們的服務(wù)器受到攻擊，不采取任何這些步驟的后果可能是災難性的。即使確實(shí)發(fā)生了數據泄露，如果我們遵循這些建議，黑客也很難獲取自己的個(gè)人信息。

以上是網(wǎng)絡(luò )服務(wù)器安裝和配置的基本技巧分享，希望對大家會(huì )有所幫助。