Безопасность

Получение сертификатов Let'sEncrypt

Как сказано на главной странице letsencrypt.org :
"Let’s Encrypt is a free, automated, and open Certificate Authority" то есть это бесплатный, автоматизированный и открытый Центр Сертификации.
В нем можно получить бесплатный сертификат для работы домена по https протоколу, который будет поддерживаться всеми современными браузерами, причем процесс обновления сертификата можно автоматизировать. Естественно, существуют ограничения, подробнее тут https://letsencrypt.org/docs/rate-limits.
Как это работает, в двух словах.

L2 туннели с помощью OpenVPN

(Статья в режиме правки)
OpenVPN позволяет создавать туннели в режиме не только routed vpn, но и bridged vpn.
Режим bridged подразумевает объединение в bridge(мост) ethernet интерфейса с одним или более виртуальным TAP интерфейсом, который по туннелю OpenVPN будет соединен с аналогичным bridg-ом на другой стороне туннеля. Это является программным аналогом физического коммутатора(свича) и позволяет логически соединить две (или более) расположенные отдельно друг от друга сети в одну так, как будто это одна сеть, т.е. объединить эти сети на уровне L2.

Копрование файла с удаленного хоста на локальный с использованием ssh

Есть задача безопасно скопировать файл с сервера на рабочий компьютер который находится за файрволом. Сервер доступен по ssh.

scp username@remotehost:filename /localpath/filename

Можно и так:

ssh -f username@10.11.12.13 -L 45678:10.11.12.13:22 -N
scp -P 45678 username@localhost:/home/username/file.txt .

Здесь сначала создается туннель в котором порт 22 сервера перенаправляется на порт 45678 локальной машины, N - означает не выполнять команд на сервере, f - работать в фоновом режиме, т.е. позже нужно будет уничтожить запущенный процесс.

Подключение по rdp с использованием ssh туннелей через промежуточный сервер

Использование ssh туннеля для подключения к удаленному рабочему столу windows, в случае если ssh сервер находится в одной сети с компьютером, к рабочему столу которого нужно подключиться, достаточно тривиально.

Настройка бэкапа на VDS с помощью rsync

Резервное копирование экономит время, нервы и средства, поэтому для себя сейчас использую следующую схему резервного копирования на своих серверах.
Что нужно резервировать, - базы mysql, файлы веб сервера, настройки сервера, файлы пользователей, файлы рута, логи, и т.д., каждый решает сам

Создание самоподписного сертификата openssl

Для создания самоподписного сертификата с помощью OpenSSL:

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout server.key -out server.crt

openssl: основной инструмент командной строки для создания и управления сертификатами, ключами и другими файлами OpenSSL.

req: This subcommand specifies that we want to use X.509 certificate signing request (CSR) management. The "X.509" is a public key infrastructure standard that SSL and TLS adheres to for its key and certificate management. We want to create a new X.509 cert, so we are using this subcommand.

Уведомление на email при логине на сервер по ssh

Решил настроить отсылку уведомления на email админу в случае если на сервер кто-то залогинился по ssh. Погуглив вопрос, нашел метод с использованием PAM, если точнее, с использованием модуля pam_exec.so, который позволит выполнить скрипт, отсылающий уведомление.
Суть метода:
в файле /etc/pam.d/sshd секцию

# session
session         required        pam_permit.so
приводим к виду
# session
session         required        pam_permit.so
session         optional        pam_exec.so /root/scripts/pam/ssh.login.email.notify.sh

SquidClamav

SquidClamav - антивирус для squid на основе ClamAv. По информации с сайта разработчика
http://squidclamav.darold.net/ :
Использование SquidClamav позволяет повысить безопасность web трафика в сети. SquidClamav наиболее эффективный squid реддиректор и icap антивирус для http траффика который доступен бесплатно, написан на С и может обрабатывать тысячи содинений. SquidClamav создан с учетом скорости и безопасности, впервые использован и протестирован для обеспечения безопасности сети с более чем 2500 пользователей. Известно также что он быстро работает с 15000+ пользователями.

sftp chroot

Для ограничения пользователей при работе по sftp через ssh можно использовать chroot.
В /etc/ssh/sshd_config добавить

Subsystem   sftp   /usr/libexec/sftp-server
AllowUsers user1
Match user user1
ChrootDirectory /home/user1
X11Forwarding no
AllowTcpForwarding no    
ForceCommand internal-sftp

Все каталоги от корня до домашнего каталога пользователя включительно должны быть доступны для записи только руту, иначе chroot не будет работать, в нашем случае каталог /home/user1 должен быть
drwxr-xr-x  5 root       wheel      512  3 apr 07:54 user1

Ленты новостей