All posts by Enteroa

pure-ftpd 설치 및 설정(centos6)

1. pure-ftpd 다운로드 : http://download.pureftpd.org/pub/pure-ftpd/releases/

2. 압축 해제, 컴파일 및 selinux 끄기

~]# cd /opt

~]# tar xfzp pure-ftpd-1.0.36.tar.gz

~]# cd pure-ftpd-1.0.36

~]# ./configure --with-altlog --with-language=english --with-rfc2640 --with-ftpwho --with=tls --without-ldap --without-mysql --without-pgsql

~]# make && make install

~]# setsebool -P ftpd_use_passive_mode on

~]# setsebool -P ftp_home_dir on

~]# setenforce 0

3. /etc/pam.d/ftp 설정

#%PAM-1.0

auth required pam_listfile.so item=user sense=deny file=/etc/ftpusers onerr=succeed

auth include system-auth

auth required pam_shells.so

account include system-auth

session include system-auth

session required pam_loginuid.so

4. TLS 통신 활성화를 위한 퍼블릭키 생성.

1 2	~]# ln -s /etc/pki/tls/certs /etc/ssl/private ~]# openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/pki/tls/certs/pure-ftpd.pem -out /etc/pki/tls/certs/pure-ftpd.pem

5. /etc/pure-ftpd/pure-ftpd.conf 설정

############################################################

# #

# Configuration file for pure-ftpd wrappers #

# #

############################################################

ChrootEveryone yes

BrokenClientsCompatibility no

MaxClientsNumber 50

Daemonize yes

MaxClientsPerIP 8

DontResolve yes

MaxIdleTime 15

UnixAuthentication yes

LimitRecursion 10000 8

AnonymousCanCreateDirs no

MaxLoad 4

Bind ,21

PassivePortRange 40003 40103

AntiWarez yes

AnonymousOnly no

NoAnonymous yes

AnonymousCantUpload yes

MaxDiskUsage 99

Umask 133:022

MinUID 500

UseFtpUsers no

AllowUserFXP no

AllowAnonymousFXP no

AllowDotFiles yes

VerboseLog no

SyslogFacility ftp

PIDFile /var/run/pure-ftpd.pid

AltLog w3c:/var/log/xferlog

CustomerProof yes

TLS 1

FileSystemCharset utf8

ClientCharset cp949

#UserBandwidth 8

#PAMAuthentication yes

#UserRatio 1 10

#ForcePassiveIP 192.168.0.1

#TrustedIP 10.1.1.1

#AnonymousRatio 1 10

#AnonymousBandwidth 8

#DisplayDotFiles yes

#ProhibitDotFilesWrite yes

#ProhibitDotFilesRead yes

#LogPID yes

#NoChmod yes

#KeepAllFiles yes

#CreateHomeDir yes

#Quota 1000:10

#CallUploadScript yes

#NoRename yes

#PerUserLimits 3:20

#NoTruncate yes

#IPV4Only yes

#IPV6Only yes

36번째줄 설정은 서버 인코딩셋에 따라 euckr 으로 지정해야 할수 있다.

echo $LANG 로 서버 인코딩셋을 확인하거나 /etc/stsconfig/i18n 을 확인하거나 수정 후에 맞추어 준다.

6. pure-ftpd 명령어 생성

~]# touch /etc/init.d/pure-ftpd

~]# chmod 700 /etc/init.d/pure-ftpd

~]# vi /etc/init.d/pure-ftpd

#!/bin/bash

# Startup script for the pure-ftpd FTP Server $Revision: 1.1 $

# chkconfig: - 85 15

# description: Pure-FTPd is an FTP server daemon based upon Troll-FTPd

# processname: pure-ftpd

# pidfile: /var/run/pure-ftpd.pid

# config: /etc/pure-ftpd/pure-ftpd.conf

# Source function library.

. /etc/init.d/functions

# Source networking configuration.

. /etc/sysconfig/network

# Check that networking is configured.

[ ${NETWORKING} = "no" ] && exit 0

RETVAL=0

prog="pure-ftpd"

# Path to the pure-ftp binaries.

fullpath=/usr/local/sbin/pure-ftpd

pureftpwho=/usr/local/sbin/pure-ftpwho

pure_config=/etc/pure-ftpd/pure-ftpd.conf

pure_launch_script=/usr/local/sbin/pure-config.pl

start() {

echo -n $"Starting $prog: "

daemon "$pure_launch_script $pure_config --daemonize > /dev/null"

RETVAL=$?

[ $RETVAL = 0 ] && touch /var/lock/subsys/pure-ftpd

echo

}

stop() {

echo -n $"Stopping $prog: "

killproc pure-ftpd

RETVAL=$?

[ $RETVAL = 0 ] && rm -f /var/lock/subsys/pure-ftpd

echo

}

# See how we were called.

case "$1" in

start)

start

;;

stop)

stop

;;

restart)

stop

start

;;

reload)

echo -n $"Reloading $prog: "

killproc pure-ftpd -HUP

RETVAL=$?

echo

;;

condrestart)

if [ -f /var/lock/subsys/pure-ftpd ] ; then

stop

# avoid race

sleep 3

start

;;

status)

status pure-ftpd

RETVAL=$?

if [ -f $pureftpwho ] && [ $RETVAL -eq 0 ] ; then

$pureftpwho

;;

echo $"Usage: pure-ftpd {start|stop|restart|reload|condrestart|status}"

RETVAL=1

esac

exit $RETVAL

7. 데몬 시작 및 chkconfig 등록.

1 2	~]# /etc/init.d/pure-ftpd start ~]# chkconfig --level 2345 pure-ftpd on

yum을 이용한 proftpd 설치 및 설정 (centos6)

1. yum 설치 및 selinux 끄기.

~]# yum -y install epel-release

~]# yum -y install proftpd

~]# setsebool -P ftpd_use_passive_mode on

~]# setsebool -P ftp_home_dir on

~]# setenforce 0

2. /etc/pam.d/proftpd 설정

#%PAM-1.0

auth required pam_listfile.so item=user sense=deny file=/etc/ftpusers onerr=succeed

auth include system-auth

auth required pam_shells.so

account include system-auth

session include system-auth

session required pam_loginuid.so

3. TLS 통신 활성화를 위한 퍼블릭키 생성.

1	~]# openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/pki/tls/certs/proftpd.key -out /etc/pki/tls/certs/proftpd.crt

4. /etc/proftpd.conf 설정.

# Includes DSO modules

# Include /etc/proftpd/modules.conf

UseIPv6 off

IdentLookups off

ServerName "ProFTP"

ServerType standalone

ServerIdent on "ProFTPD [x.x.x] Server"

DeferWelcome off

MultilineRFC2228 on

DefaultServer on

ShowSymlinks on

TimeoutNoTransfer 600

TimeoutStalled 600

TimeoutIdle 1200

DisplayLogin welcome.msg

DisplayChdir .message true

DenyFilter \*.*/

DefaultRoot ~ !root

RequireValidShell off

AuthUserFile /etc/passwd

AuthGroupFile /etc/group

Port 21

PassivePorts 50001 50060

MaxClientsPerHost 5

MaxLoginAttempts 5

MaxClients 30 "Too many connections"

MaxInstances 30

User root

Group nobody

Umask 022

AllowOverwrite on

TransferLog /var/log/xferlog

SystemLog /var/log/secure

LogFormat default "%h %l %u %t \"%r\" %s %b"

LogFormat auth "%h %l %u %t \"%r\" %s"

VRootOptions allowSymlinks

UseEncoding utf8 cp949

TimesGMT off

SetEnv TZ "Asia/Seoul"

TLSEngine on

TLSProtocol SSLv23

TLSOptions NoCertRequest AllowClientRenegotiations

TLSRSACertificateFile /etc/pki/tls/certs/proftpd.crt

TLSRSACertificateKeyFile /etc/pki/tls/certs/proftpd.key

TLSVerifyClient on

TLSRequired off

</IfModule>

37번째줄 설정은 서버 인코딩셋에 따라 euckr cp949 으로 지정해야 할수 있다.

echo $LANG 로 서버 인코딩셋을 확인하거나 /etc/stsconfig/i18n 을 확인하거나 수정 후에 맞추어 준다.

설정은 system-auth 를 이용한 인증제 이며 FTP 및 FTP over TLS 을 지원, 최대 접속자수 30명, 한개의 IP에서 5개 동시접속 허용값이다.

umask 는 022 로 필요에 따라(아파치 보안정책) 027 등으로 교체해서 사용한다.

5. 데몬 시작 및 chkconfig 등록.

1 2	~]# /etc/init.d/proftpd start ~]# chkconfig --level 2345 proftpd on

history 로그를 남기자 ‘ㅅ’a (history_to_syslog)

서버 접속에서 삽질하는 애들중에 history 로그를 날리고 나가는 애들이 있어서..

/etc/profile.d/ 안에 파일을 만들어서 쓰는 커멘드를 /var/log/messages 로그에 남기 도록 한다.

보기 좋게 출력을 하도록 약간 수정을 하였다 ‘ㅅ’a

#!/bin/bash

function history_to_syslog() {

declare USERCMD

USERCMD=$(fc -ln -0 2>/dev/null|sed 's/\t //')

declare PP

if [ "$USER" == "root" ];then

PP="]#"

else

PP="]$"

if [ "$USERCMD" != "$OLD_USERCMD" ];then

logger -p local3.notice -t bash -i "history2syslog: $USER$(who am i|awk '{print $NF}')$SUDO_USER:$PWD$PP $USERCMD"

OLD_USERCMD=$USERCMD

unset USERCMD PP

}

trap 'history_to_syslog' DEBUG

로그는 아래와 같이 찍힌다.

슈퍼유져(root) 권한을 획득한 유져(userA)의 로그

1 2	Jul 31 19:31:22 xxxxx bash[18308]: history2syslog: root(111.111.111.111)userA:/home]# tail /var/log/messages Jul 31 19:31:26 xxxxx bash[18316]: history2syslog: root(111.111.111.111)userA:/home]# grep bash /var/log/messages

일반 유져(userB)의 로그

1 2	Jul 31 19:32:29 xxxxx bash[20202]: history2syslog: userB(222.222.222.222):/home/userA]$ ls Jul 31 19:32:30 xxxxx bash[20210]: history2syslog: userB(222.222.222.222):/home/userA]$ cd html/

who, sed, awk, logger 명령어가 사용자에게 실행(755)권한이 있어야 한다.

1	~]# which who sed awk logger gawk\|xargs ls --color=auto -l

linux 퍼미션 잘못지정 했을때 명령어

잘못된 명령어에 의해 리눅스 루트( / )에 chmod 또는 chown 명령어가 들어갔다면.. 응급복구 형태로 아래의 명령어로 초기화를 진행할 수 있다.

안되면 뭐 재설치 해야겠지만 -.-a

rpm –setperms [패키지명] 명령어를 이용하여 퍼미션 재설정 하는 부분을 for문으로 아래와 같이 돌려 해결을 시도한다.

소유권을 초기화 시키는 명령어(OS 설치상태)

~]# for u in $(rpm -qa);do rpm --setugids $u;done

퍼미션을 초기화 시키는 명령어(OS 설치상태)

~]# for p in $(rpm -qa);do rpm --setperms $p;done

(이게 안되면 하나하나 재설정 혹은 OS 재설치가 빠를수 있다 ‘ㅅ’a)

물론 이후 보안을 위해 제한해둔 명령어가 모두 풀릴수 있으니

보안을 위한 명령어들의 퍼미션을 재 지정해야 하겠다.

마운트가 read only 로 된경우에는 아래의 명령어로 재 마운트 후에 진행해야 할 수 있다.

1	~]# mount -o remount,rw /

PDNS 설치 및 구성 하기. ( master / slave )

https://www.powerdns.com

DB연동(mysql)으로 DNS 를 관리할수 있다 ‘ㅅ’a.

1. 설치법

~]# yum -y install pdns pdns-backend-mysql pdns-recursor libtool boost-devel

~]# mysql -uroot -p mysql

mysql> CREATE DATABASE pdns;

mysql> GRANT ALL PRIVILEGES ON `pdns`.* to `pdns`@`%` IDENTIFIED BY 'databasePASSWORD' WITH GRANT OPTION;

2. pdns 테이블 생성 (sql 문으로 저장하여 import 하거나 mysql 콘솔에서 직접 입력을 해도 된다.)

CREATE TABLE `comments` (

`id` int(11) NOT NULL AUTO_INCREMENT,

`domain_id` int(11) NOT NULL,

`name` varchar(255) NOT NULL,

`type` varchar(10) NOT NULL,

`modified_at` int(11) NOT NULL,

`account` varchar(40) NOT NULL,

`comment` mediumtext NOT NULL,

PRIMARY KEY (`id`),

KEY `comments_domain_id_idx` (`domain_id`),

KEY `comments_name_type_idx` (`name`,`type`),

KEY `comments_order_idx` (`domain_id`,`modified_at`)

) ENGINE=MyISAM DEFAULT CHARSET=utf8;

CREATE TABLE `cryptokeys` (

`id` int(11) NOT NULL AUTO_INCREMENT,

`domain_id` int(11) NOT NULL,

`flags` int(11) NOT NULL,

`active` tinyint(1) DEFAULT NULL,

`content` text,

PRIMARY KEY (`id`),

KEY `domainidindex` (`domain_id`)

) ENGINE=MyISAM DEFAULT CHARSET=utf8;

CREATE TABLE `domainmetadata` (

`id` int(11) NOT NULL AUTO_INCREMENT,

`domain_id` int(11) NOT NULL,

`kind` varchar(32) DEFAULT NULL,

`content` text,

PRIMARY KEY (`id`),

KEY `domainmetadata_idx` (`domain_id`,`kind`)

) ENGINE=MyISAM DEFAULT CHARSET=utf8;

CREATE TABLE `domains` (

`id` int(11) NOT NULL AUTO_INCREMENT,

`name` varchar(255) NOT NULL,

`master` varchar(128) DEFAULT NULL,

`last_check` int(11) DEFAULT NULL,

`type` varchar(6) NOT NULL,

`notified_serial` int(11) DEFAULT NULL,

`account` varchar(40) DEFAULT NULL,

PRIMARY KEY (`id`),

UNIQUE KEY `name_index` (`name`)

) ENGINE=MyISAM DEFAULT CHARSET=utf8;

CREATE TABLE `records` (

`id` int(11) NOT NULL AUTO_INCREMENT,

`domain_id` int(11) DEFAULT NULL,

`name` varchar(255) DEFAULT NULL,

`type` varchar(10) DEFAULT NULL,

`content` mediumtext,

`ttl` int(11) DEFAULT NULL,

`prio` int(11) DEFAULT NULL,

`change_date` int(11) DEFAULT NULL,

`disabled` tinyint(1) DEFAULT '0',

`ordername` varchar(255) CHARACTER SET utf8 COLLATE utf8_bin DEFAULT NULL,

`auth` tinyint(1) DEFAULT '1',

PRIMARY KEY (`id`),

KEY `nametype_index` (`name`,`type`),

KEY `domain_id` (`domain_id`),

KEY `recordorder` (`domain_id`,`ordername`)

) ENGINE=MyISAM DEFAULT CHARSET=utf8;

CREATE TABLE `supermasters` (

`ip` varchar(64) NOT NULL,

`nameserver` varchar(255) NOT NULL,

`account` varchar(40) NOT NULL,

PRIMARY KEY (`ip`,`nameserver`)

) ENGINE=MyISAM DEFAULT CHARSET=utf8;

CREATE TABLE `tsigkeys` (

`id` int(11) NOT NULL AUTO_INCREMENT,

`name` varchar(255) DEFAULT NULL,

`algorithm` varchar(50) DEFAULT NULL,

`secret` varchar(255) DEFAULT NULL,

PRIMARY KEY (`id`),

UNIQUE KEY `namealgoindex` (`name`,`algorithm`)

) ENGINE=MyISAM DEFAULT CHARSET=utf8;

3. /etc/pdns/pdns.conf 편집

# pdns 설정은 영어 실력 미달로 내가 이해한대로 써놔서 부정확 할수 있다 'ㅅ'a - 장수환

# 궁금하면 메뉴얼을 보자 : https://doc.powerdns.com/md/authoritative/settings

# pdns의 마스터 / 슬레이브를 설정한다.

master=yes

slave=no

# axfr 허용할 IP를 지정한다 ( 도메인 추가/레코드 변경시 노티피와 관련된다. )

disable-axfr=no

allow-axfr-ips=[슬레이브서버IP]

# dns-recursion 허용 아이피를 설정한다. 개방형DNS 의 경우 모두 허용해야 하지만 IP만으로 제한 하는게 공격 방어에 좋다.

allow-recursion=127.0.0.1, [마스터서버IP], [슬레이브서버IP]

recursor=127.0.0.1:54

# yes 일경우 Any, RRSIG(dnssec) 쿼리를 TCP로 변경한다. 리플렉션 공격 방어에 효과적.

any-to-tcp=yes

# 기타 잡설정.

version-string=powerdns

local-port=53

daemon=yes

setuid=pdns

setgid=pdns

guardian=yes

config-dir=/etc/pdns

module-dir=/usr/lib64/pdns

socket-dir=/var/run

#log-dns-details=on

#log-failed-updates=on

#loglevel=3

launch=gmysql

gmysql-dnssec

gmysql-host=localhost

gmysql-user=pdns

gmysql-password=[databasePASSWORD]

gmysql-dbname=pdns

gmysql-port=3306

gmysql-socket=/tmp/mysql.sock

4. /etc/pdns-recursor/recursor.conf 수정

setuid=pdns-recursor

setgid=pdns-recursor

config-dir=/etc/pdns-recursor/

daemon=yes

local-port=54

socket-dir=/var/run/

version-string=PDNS

allow-from=0.0.0.0/0

local-address=127.0.0.1

quiet=yes

5. chkconfig 등록 및 pdns 서비스 시작.

~]# /etc/init.d/pdns start;

~]# /etc/init.d/pdns-recursor start

~]# chkconfig --level 2345 pdns on

~]# chkconfig --level 2345 pdns-recursor on

6. 도메인 등록 및 레코드 등록 쿼리 예제.

# 도메인 등록 쿼리

INSERT INTO domains (name, type, notified_serial) VALUES ('enteroa.kr', 'MASTER', 1);

# 레코드 등록 쿼리

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'enteroa.kr', 'SOA', 'ns1.enteroa.kr root.ns1.enteroa.kr 2015042217 7200 1800 1209600 300', 300, 0, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'enteroa.kr', 'NS', 'ns1.enteroa.kr', 300, 0, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'enteroa.kr', 'NS', 'ns2.enteroa.kr', 300, 0, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'enteroa.kr', 'MX', 'aspmx1.naver.com', 300, 10, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'enteroa.kr', 'MX', 'aspmx2.naver.com', 300, 20, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'enteroa.kr', 'A', '123.123.123.125', 300, 0, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, '*.enteroa.kr', 'CNAME', 'enteroa.kr', 300, 0, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'ns1.enteroa.kr', 'A', '123.123.123.123', 300, 0, UNIX_TIMESTAMP(NOW()));

INSERT INTO records (domain_id, name, type, content, ttl, prio, change_date) VALUES (1, 'ns1.enteroa.kr', 'A', '123.123.123.124', 300, 0, UNIX_TIMESTAMP(NOW()));

PS. master/slave 구성시. 아래와 같은 부분을 추가 한다. (master / pdns.conf 의 disable-axfr 값은 yes->no로 변경)

마스터 서버 ~]# vi /etc/pdns/pdns.conf

disable-axfr=no

allow-axfr-ips=슬레이브서버IP

master=yes

슬레이브서버 ~]# vi /etc/pdns/pdns.conf

slave=yes

또한 슈퍼 마스터를 추가 해서 리플리케이션을 구성한다.

1	INSERT INTO supermasters ('[마스터서버IP]','[마스터서버이름]','admin');

리플리 케이션이 되는 조건은 슈퍼마스터설정, axfr 설정, 등록된 도메인의 정상적인 SOA 설정 및 업데이트, 그리고 각 도메인의 NS 레코드에 리플리케이션 구성될수 있는 네임서버 선언이 필요로 한다.

LAST. 확인방법

1 2	C:\> nslookup -q=any 도메인명 [네임서버IP혹은호스트이름] C:\> nslookup -q=any enteroa.kr ns1.enteroa.kr