Popis řešení malého domácího univerzálního serveru
(router, firewall, www, mail, ftp, samba)

1) hardware

základní deska Asus E35M1-I DELUXE
(integrated dual core AMD E-350 Zacate 18W processor, chipset AMD FCH A50 Hudson M1,
integrovaná grafika Radeon 6310), pasivní chlazení



RAM Zeppelin 2GB DDR3 1333MHz GOLD 2 kusy (celkem 4GB)
SSD disk OCZ Agility 3 Series 60GB NAND Controller: SandForce 2281
SSD A-Data Premier Pro SP900, 2,5", SATA III – 256GB řadič SandForce 2281
DVD vypalovačka Samsung SH-224BB černá
Síťová karta AXAGO PCEE-GR PCI-e Gigabit RTL8111
Zdroj Seasonic SS-250SU 250W 80PLUS Bronze aktivní PFC
Skříňka CFI A8989 150W černá

Pohled na skříňku serveru z boku:


Pohled na skříňku serveru zezadu:


Pohled na skříňku CFI A8989 zepředu:

- provoz serveru je bez klávesnice, myši a monitoru
- zdroj napájí přes přidané dva napájecí konektory 2,5mm, jištěné každý pojistkou 3,15A,
   z jednoho webkameru pomocí PoE, z druhého minipočítač meteostanice
- z jednoho USB portu je napájen osmiportový switch Zyxel napětím +5V 

Přídavný napájecí panýlek 2x12V:


- přidaná síťová karta Axago PCEE - GR s Realtekem 8111 má vhodný tvar panýlku s ohledem na
   zabudování 2x 2,5mm napájecího konektoru
- síťový adaptér na základní desce se po instalaci linuxu hlásí jako eth1 a je připojen přes switch
   do vnitřní sítě
- přidaná PCI-e síťová karta AXAGO s Realtek 8111 je připojena do ADSL modemu
   POZOR, ZRADA !, pro správnou funkci síťovky v PCI-e slotu musí být zvolena v setupu jako primární PCI-e grafika
  přestože ve slotu je ve skutečnosti síťová karta
- server je napájen ze sítě přes záložní zdroj Back-UPS CS 350
- příkon celé sestavy (server + výše uvedené periferie) na vstupu UPS je cca 50W

2) software
do serveru byl nainstalován operační systém CentOS, původně verze 5.7,
- instalace byla provedena z CD i386 netinstal, minimální instalace bez grafické nadstavby
- předpokládá se pouze konzolový režim
- pro ovládání serveru po síti je použit Webmin
- podle návodu ve 4. díle seriálu ITíkův blog o SElinuxu byly vyhodnoceny chyby a do jádra
zavedeny potřebné moduly mypolxx - toto bylo během času opakováno několikrát
- na občasné zálohování systémového disku sda je použit SSD disk Kingston SSDNow 60GB
se stejnou kapacitou, připojený datově na e-SATA na zadním panelu, napájený z externího zdroje,
low level přepis programem (boot CD) Easeus DiscCopy trvá cca 14 minut (celých 60GB)
- Webmin musí mít nastavený jazyk Czech (CZ)
- pro nastavení kvót je třeba v etc/fstab změnit parametry pro /home a /mnt/backup na journal kvóty
- úpravou Selinuxu je potřeba povolit přístup programu quotas na /mnt/backup
(přes sealert se vypíše chyba a následně se zavede dle doporučení příslušný modul mypolxx,
to celé dvakrát a ještě je nutno vymazat původní aquota.user - kvóty jsou zavedeny jen pro
uživatele, nikoliv skupinu
- bylo nutno doinstalovat balíčky pro sealert, python a podobně, celkem 61 položek
- byla nastavena konfigurace firewallu iptables vytvořením potřebného skriptu
s požadovanými pravidly – postup:
1)zastavíme službu iptables příkazem: „service iptables stop“
2)smažeme vše co je v iptables příkazem „iptables -F“
3)spustíme skript do kterého jsme napsali jednotlivá pravidla příkazem sh ./cesta/soubor,
pravidla se načtou do paměti
4)pravidla z paměti uložíme příkazem „service iptables save“ (uloží se do /etc/sysconfig/iptables)
5)restartujeme iptables příkazem „service iptables restart“
- byl zprovozněn démon sledování záložního zdroje acpupsd, několik změn v conf souboru
(typ usb device bez dalšího upřesnění) a cgi skripty z apcupsd zkopírovány do adresáře cgi-bin
- byl odinstalován balíček cronie-anacron s ignorováním závislostí a nainstalován balíček
cronie-noanacron, byl vymazán obsah adresáře cron.d , cron.hourly cron.weekly a cron.monthly
jsou prázdné, cron.daily obsahuje příkazy, vykonávané jednou denně ve 04:02
cron.minute obsahuje příkazy, vykonávané každou minutu (test ADSL připojení a uložení
obrázku z webkamery na disk, byla přidána kontrola aktualizací jednou denně v 04:40,
je ve /var/spool/cron/root
- byl přidán balíček sysstat, kde mpstat -P ALL ukáže zatížení obou jader procesoru a mnoho
dalšího, přidá si záznam do cron.d a jednou denně vytváří denní statistiku ve /var/log/saxx
kde xx je číslo dne v měsíci- jako webmail je použit squirrelmail, bylo zjištěno, že nejde
odpovědět na mail ve webmailu,
podle návodu na netu bylo nejdřív vyzkoušeno
> setsebool -P httpd_can_sendmail on
> setsebool -P logging_syslogd_can_sendmail on
nepomohlo, tak ve správci souborů nastavena dočasně práva pro
/var/spool/mclientqueue na 1777, což pomohlo, ale není to čisté a sendmail upozorňuje
na nebezpečí, bude dořešeno později
- historie příkazů Webminu pro command line je v /etc/webmin/shell/previous.root
- pro výpis aktuálně připojených klientů lze použít:
netstat -plan | grep :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
- doinstalována možnost balíčků z repositáře epel:
https://download.fedoraproject.org/pub/epel/6/i386/epel-release-6-8.noarch.rpm
-instalace fail2ban-0.8.8-3.el6.noarch z yum (včetně několika pythonů, automaticky)
do /etc/fail2ban/jail.conf přidány adresy localhost, vnitřní sítě a veřejné IP pro ignorování
ignoreip = 127.0.0.1/8 192.168.1.0/24 78.80.4.211
přidána sekce sendmail, vytvořen soubor /etc/fail2ban/filter.d/sendmail.conf podle návodu na netu
- instalace balíčku jwhois z yum: jwhois-4.0-19.el6.i686
z /usr/bin/whois je link na /usr/bin/jwhois
(v mailu o zabanování by pak měl být i DNS záznam)
log programu fail2ban je umístěn v syslogu var/log/messages, lze v konfigu změnit
problém se selinuxem a notify (souvisí s python-notify, který se nainstaloval
spolu s fail2ban, zaveden modul mypol2 podle návodu v logu
v souboru jail.conf použito: backend = gamin, řeší zřejmě i problém s nefunkčností
fail2ban po týdenní rotaci logů
- modifikován soubor sendmail-whois.conf aby poslal e-mail i při unbanování,
- do souboru jail.conf přidáno:
[dovecot]
enabled = true
filter = dovecot
action = iptables-multiport[name=dovecot, port="pop3,pop3s,imap,imaps", protocol=tcp]
sendmail-whois[name=dovecot, dest=root@grill42.cz]
logpath = /var/log/maillog
maxretry = 20
findtime = 1200
bantime = 1200
časy banu jsou buď defaultní nebo, je-li uvedena hodnota, jsou pro každý filtr
uplatňovány samostatně
- časy a datum e-mailových zpráv od fail2ban byly nesprávné, napraveno:
v souboru /etc/fail2ban/action.d/sendmail-whois.conf zakomentovány # všechny čtyři řádky
Date: `date -u +"%%a, %%d %%h %%Y %%T +0000"`
- do Webminu byl přidán modul certmgr.wbm.gz pro správu a generování certifikátů,
v konfiguraci modulu byly změněny cesty k souborům převážně
na /etc/pki/tls/xxx, csr directory na /etc/pki/tls/certs
- na startssl.com byl vygenerován roční certifikát pro www.grill42.cz
- doplněk pro zabanování nežádoucích volání apache
logy pro apache jsou:
/var/log/httpd/access_log tam je i 404
/var/log/httpd/ssl_access_log tam je i 404
/etc/httpd/logs/error_log tam je jen file does not exist
použity jsou zatím první dva /var/log/httpd/*access_log
1) do /etc/fail2ban/jail.conf přidat:
[apache-404]
enabled = true
filter = apache-404
action = iptables-multiport[name=WWW, port="http,https", protocol=tcp]
sendmail-whois[name=www, dest=root@grill42.cz
logpath = /var/log/httpd/*access_log
2) vytvořit v etc/fail2ban/filter.d/apache-404.conf (zatím root root 644):
[Definition]
failregex = (?P<host>[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}) .+ 404 [0-9]+ "
ignoreregex = favicon\.ico
a restart fail2ban
- sealert pro log soubor /var/log/httpd/*access_log, podle návodu zaveden modul mypol4,
po novém restartu fail2ban jsou aktivní všechny čtyři jaily:
- použit certifikátu startcom (stejný, jako pro apache - squirrelmail) do webminu
- pro správnou funkci monitorování UPS bylo nutno doinstalovat balíček apcupsd-cgi
a přesunout všechny čtyři soubory z /var/www/apcupsd do /var/www/cgi-bin
(vzniklo po aktualizaci APCUPSD v létě 2013)
- 2.12.2013 aktualizace cca 170 balíčků na Centos 6-5, bez chyby, ale zatím bez restartu
- po aktualizaci na Centos 6.5 se cron daily vykonalo ve 4:02 dvakrát, takže byl
vymazán obsah adresáře cron.d (byl prázdný i ve starém serveru)
- nová verze fail2ban, restart, je potřeba upravit, aby nehlásilo chyby
Pro odstranění chybového hlášení po restartu byly následující tři filtry
odstraněny ze souboru jail.conf (nebylo pro ně definováno action:)
WARNING 'action' not defined in 'lighttpd-fastcgi'. Using default one: ''
WARNING 'action' not defined in 'php-url-fopen'. Using default one: ''
WARNING 'action' not defined in 'lighttpd-auth'. Using default one: ''
(pozn. apache-404 je v iptables jako fail2ban-WWW)
-27.12.2013 restart serveru po 247 dnech provozu a mnoha aktualizacích
nyní kernel Linux 2.6.32-431.1.2.0.1.el6.i686 on i686
zaveden mypol7 pro mnt/backup podle doporučení v logu
ve webminu "Diskové a síťové souborové systémy" byl připojen /mnt/backup
(připojit nyní – připojit)
a následně pro /mnt/backup povolit kvóty
po dalším restartu zbývá pouze hlášení:
dangerous permissions=41777 on queue directory /var/spool/clientmqueue/
jinak kvóty a /mnt/backup po aplikaci mypol7 fungují
mypol7 je zatím nejvyšší číslo této politiky selinuxu

Tento popis je kompilací poznámek, průběžně zapisovaných při sestavení a změnách v serveru.
Není úplný, nepodstatné nebo konkrétních uživatelů se týkající věci nejsou uvedeny.
Nejsem linuxář, věc provozuji pro potěšení a seznámení se s problematikou, takže mnohá řešení
se kovaným linuxářům mohou oprávněně zdát krkolomná nebo nesprávná.
Preferuji správnou funkci zařízení bez ohledu na to, jak jí bylo dosaženo.

Server obsluhuje jednoduché, jen málokdy aktualizované www stránky www.grill42.cz,
dále provádí obsluhu e-mailů včetně možnosti webmailu, běží v něm ftp server a v domácí síti
s počítači Windows se používá Samba.
Základní systém a adresáře /home uživatelů jsou na SSD disku 60GB, další data pak na SSD
240GB.

Server rovněž plní funkci stavového firewallu a routeru pro domácí síť.
K serveru je připojena trvale běžící webkamera a rovněž trvale běžící meteostanice,
kde výstupy obou těchto přístrojů jsou vloženy do webových stránek.
ADSL připojení cca 8Mb/512kb neumožňuje žádné zázraky, ale pro běžné použití stačí.

Použity jsou programy Apache, Sendmail, Dovecot, Squirrelmail, ProFTPD a Samba,
ovládání je po síti přes Webmin.

S distribucí CentOS mám velmi dobré zkušenosti, je poměrně snadno pochopitelná
(zejména když jsem dřív v serveru používal Mandrake respektive Mandrivu) a stabilní.
Před restartem kvůli rozsáhlejší aktualizaci a bitmapové záloze disku běžel server 8 měsíců
bez chyby. Tuhý boj byl pouze s SELinuxem, kde mi hrdost nedovolila ho vypnout,
ale nakonec se vše podařilo zprovoznit.

Vytvořeno v prosinci 2013, upraveno v dubnu 2014, srpnu 2014 a říjnu 2014.

Na hlavní stránku.