Авторизация



Теги сайта



0х0000007b 1c access control list acl activation active directory ad roles add route adexplorer apache authentication to zabbix bare metal recovery bg zsh bicycle books bruteforce c admin ccna centos centos packet change net adapter name chap chkrootkit chmod cisco clipboard cmd configuring cpu cores cron crontab csc cut cvsup cvsup-without-gui db dev null 2 1 dhcp dhcp reservation disable ipv6 diskpart dism dns domain naming master domain roles download download powershell enable routing on windows enabled end-system doc english english language esx eventlog exe file associations fail2ban fastest_cvsup fedora fg zsh formatdatabase freebsd fsmo get-aduser group policy management hardware https hyper-v idioms iis iperf iptables iscsi jobs kernel panic ldap ldap аутентификация zabbix limit lingualeo linux malware posix mcitp mcsa mcse memory check microsoft mod_ssl mount mssql mysql mysql user password netcache network network config network diagram network document network load balance cluster network scripts nginx nlb num lock numlock openssl pap partition pdc permissions php pipeline pkg_version ports upgrade portupgrade posix powershell ppp pwdlastset rdp reg add regedit registry remote enable restrictions reverse proxy rhel rid rope jumping bridge мост прыжок высота route add route freebsd router switch doc routing protocol rpm sc sc sdset sc sdshow schema scope script output secure web security seize role service permissions services set dns servers set ip address sftp shell script show variables snmp sound scheme sounds speed ssh standard-supfile subinacl supfile switch switchport sync syncronization task sсheduler tempdb topology map transfer role tripplite monitoring tweaks unix user must change password at next logon utf8 vim vlan vmware w32tm web windows windows 2003 r2 windows 2008 r2 windows administrative share windows firewall windows server windows server 2012 windows server backup windows service permissions windows пингалка winre wsus xargs yum zabbix zabbix external check zabbix ldap authentication zsh автоматическое обновление портов freebsd автономные файлы активация английский язык ассоциации файлов windows база данных безопасность active directory буфер вело велосипед видео включение роутинга в windows внешняя проверка zabbix вредоносное программное обеспечение posix документация сети задание двумерного массива захват ролей dc звуки звуковая схема идиомы иероглифы киев кодировка командная строка конфигурация сети маршрутизация маршруты в freebsd маршруты в redhat linux область ограничения windows основные команды отключение административных ресурсов пакеты centos перевод передача ролей dc перенос планировщик задач покатушки полет над днепром проблемы кодировки протокол путь развития в it разрешения служб windows регистрируем cmd скриптом недоступность хоста реестр резервирование ip скриптом роли домена русские символы синхронизация скачать скачать powershell скачать книгу скорость сети списки контроля доступа тарзанка твики фоновые процессы цикл mssql

Основные команды управления сервисами в CentOS 7 Печать
systemctl list-unit-files --type service # отображает сервисы и состояние их запуска
systemctl list-units --type service --all # отображение текущего состояния сервисов
systemctl enable name.service # включение сервиса в автозапуск при старте системы
systemctl disable name.service # выключение сервиса в автозапуске
systemctl start name.service # запуск сервиса
systemctl stop name.service # остановка сервиса
systemctl restart name.service # перезапуск сервиса
systemctl try-restart name.service # перезапустить сервис если он был запущен
systemctl reload name.service # перечитать конфиги определенного сервиса
systemctl status name.service # отобразить состояние определенного сервиса
 
Скрываем часть ресурсов IIS средствами Nginx as Reverse Proxy (CentOS 7) Печать

Задача

Есть Web-сервер на IIS, обслуживающий клиентские запросы во внутренней подсети.

Стала задача предоставления части услуг, обеспечиваемых этим web-сервером, внешним пользователям через интернет.

Однако было необходимо, чтобы внешние пользователи могли получить доступ только к ограниченному (заданному) списку адресов URL.

Учитывая большое количество других ресурсов, обслуживаемых нашим сервером IIS, а также факт доступа к этому серверу команды разработчиков, да и в целом это не отдельный сервер, а кластер NLB с несколькими узлами (что заставило бы править разрешения на всех узлах каждый раз, при необходимости что-либо добавить или поменять) было принято решение не заморачиваться с правами web.config (дабы исключить дальнейшую потенциальную угрозу безопасности) и развернуть отдельный Linux сервер и настроить на нем обратный веб-прокси-сервер средствами Nginx.

 

Ссылки, необходимые для выставления наружу:

http://10.0.0.2/arcgis/rest/services/gis_ort_stat_general/MapServer

http://10.0.0.2/arcgis/rest/services/dug_multi/MapServer

 

Установка и настройка Nginx

[]# yum -y install net-tools bind-utils telnet wget tree mlocate vim gcc cifs-utils samba-client # Изначально я установил и обновил CentOS 7 Linux в сборке Minimal, поэтому ставлю базовые утилиты, которые могут понадобиться для работы

[]# yum -y install epel-release # Устанавливаем репозиторий EPEL

[]# sed -i -r 's/^enabled=1/enabled=0/g' /etc/yum.repos.d/epel.repo # Лично я не люблю когда дополнительные репозитории включены по умолчанию, поэтому исправляем в конфиге epel значение enabled на 0

[]# yum -y --enablerepo=epel install nginx # Устанавливаем веб-сервер Nginx

[]# firewall-cmd --permanent --zone=public --add-service=http # Открываем 80 порт в брандмауэре для Public зоны
success

[]# firewall-cmd --permanent --zone=public --add-service=https # Открываем 443 порт в брандмауэре для Public зоны
success

[]# firewall-cmd --reload # Заставляем брандмауэр применить конфигурацию
success

[]# vim /etc/nginx/nginx.conf # С корректировками заменяем конфиг на следующий
worker_processes 5;

events {
        worker_connections 1024;
}

http {
        server {
                listen 80;
                server_name external.domain.com www.external.domain.com;
                location /arcgis/rest/services/gis_ort_stat_general/MapServer {
                        proxy_cache                             off;
                        proxy_set_header x-real-IP              $remote_addr;
                        proxy_set_header Host                   $http_host;
                        proxy_set_header X-Forwarded-For        $proxy_add_x_forwarded_for;
                        proxy_pass                              http://10.0.0.2/arcgis/rest/services/gis_ort_stat_general/MapServer;
                }

                location /arcgis/rest/services/dug_multi/MapServer {
                        proxy_cache                             off;
                        proxy_set_header x-real-IP              $remote_addr;
                        proxy_set_header Host                   $http_host;
                        proxy_set_header X-Forwarded-For        $proxy_add_x_forwarded_for;
                        proxy_pass                              http://10.0.0.2/arcgis/rest/services/dug_multi/MapServer;
                }
        }
}

[]# nginx -t # Проверяем конфиг на ошибки
nginх: the configuration filе /etc/nginх/nginх.conf syntax is ok
nginх: configuration filе /etc/nginх/nginх.conf tеst is successful

[]# systemctl enable nginx # Включаем nginх в автозагрузку

[]# reboot # Перезагружаем систему

[]# systemctl status nginx # Проверяем работу после перезагрузки
nginх.sеrvice - The nginх HTTP and reverse proxy server
   Loaded: loaded (/usr/lib/systemd/system/nginх.sеrvice; enabled)
   Active: active (running) since Fri 2015-07-03 12:02:43 EEST; 7s ago
   {Output ommited}...

 

При доступе с клиента (браузера) к настроенному web-reverse-proxy обратите внимание на правильно сконфигурированный DNS

 


 
Настройка защиты от брутфорса Fail2Ban на примере CentOS 7 Печать

Установка и настройка fail2ban для защиты SSH от bruteforce атак по перебору паролей

[]# wget https://dl.fedoraproject.org/pub/epel/7/x86_64/e/epel-release-7-2.noarch.rpm # Скачаем пакет установки дополнительного репозитория EPEL. Естественно этого делать не нужно если репозиторий EPEL у нас уже установлен

[]# yum install epel-release-7-2.noarch.rpm # Установим репозиторий

[]# vim /etc/yum.repos.d/epel.repo # Лично я не люблю когда дополнительные репозитории включены по умолчанию, поэтому исправляем значение enabled на 0.
[epel]
name=Extra Packages fоr Enterprise Linux 7 - $basearch
#baseurl=http://download.fedoraproject.org/pub/epel/7/$basearch
mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-7&arch=$basearch
failovermethod=priority
enabled=0
gpgcheck=1
gpgkey=filе:///etc/pki/rрm-gpg/RPM-GPG-KEY-EPEL-7


[]# yum --enablerepo=epel install -y fail2ban ipset


[]# cd /etc/fail2ban/ # Переходим в директорию с конфигами

[]# cp jail.conf jail.local # Копируем дефоултный конфиг в тот, что впоследствии будем редактировать

[]# vim jail.local # Меняем некоторые настройки конфига под себя, если это необходимо
bantime = 600 # время в секундах, на которое будет забанен провинившийся. Если выставить значение -1 то бан будет вечный
findtime = 600 # если в течение этого времени будет обнаружен предельный порог попыток maxretry, то выполнить бан
maxretry = 5 # предельный порог неверных попыток


[]# cd /etc/fail2ban/jail.d/

[]# touch sshd.local # Создаем файл, в котором будут настройки мониторинга SSH/SFTP

[]# vim sshd.local
[sshd]
enabled = true
action = firewallcmd-ipset
bantime = 10800


[]# systemctl enable fail2ban.service # Включаем сервис в автозагрузку

[]# systemctl start fail2ban.service # Стартуем сервис

Наблюдение за работой

[]# tail -f /var/log/fail2ban.log # Смотрим текущие события в логе

[]# fail2ban-client status sshd # Узнать забаненные IP

[]# cat /var/log/fail2ban.log | grep Ban # Посмотреть забаненные IP способ №2.
2014-11-03 11:47:44,480 fail2ban.server.actions[20250]: NOTICE  [sshd] Ban 192.168.1.5

[]# fail2ban-client set sshd unbanip 192.168.1.5 # Вручную разбанить IP 
 
<< Первая < Предыдущая 1 2 3 4 5 6 7 8 Следующая > Последняя >>

Страница 1 из 8