$$config title: 서버 세팅 관련 명령어 keywords: - IT - ... $$ ## 리눅스에서 열려있는 포트 확인 ``` netstat - tnlp TCP 중에서(t), Listening상태[열린포트]인 애들만(l), 상세정보까지(p), 10진수 숫자로(n) 표기한다. ``` ## 고정 아이피 설정 - vi /etc/sysconfig/network-scripts/ifcfg-eth0 ## 방화벽 설정 ``` 기본적으로 서버를 구입후에 아무것도 있지 않은 상태에서 install firewall을 하고 실행을 하게 되면 모든 포트가 닫힌 상태에서 시작하게 된다. Firewalld 설치 확인 rpm -qa | grep firewalld FireWalld 설치 하기 yum -y install firewalld FireWalld 시작 systemctl start firewalld FireWalld 재부팅시 자동설정 systemctl enable firewalld FireWalld 중지 systemctl stop firewalld FireWalld 재부팅시 자동설정하지 않음 systemctl disable firewalld 방화벽에 설정 후 적용 firewall-cmd --reload 방화벽에 포트 추가/ 제거 firewall-cmd --permanent --zone=public --add-port=[포트번호]/[프로토콜] firewall-cmd --permanent --zone=public --remove-port=[포트번호]/[프로토콜] 항상 설정후에는 reload를 해줘야한다 방화벽에 허용한 포트.서비스 목록 확인 firewall-cmd --list-ports --list-services 방화벽 확인 firewall-cmd --state 현재 방화벽에 등록된 zone확인하고, 기본 zone확인 하기 + 활성화 된 존 확인 # firewall-cmd --get-zones : 등록된 존 # firewall-cmd --get-default-zone : 기본 존 # firewall-cmd --get-active-zones : 활성화된 존 활성화 되어있는 존의 서비스 목록과 포트 확인하기 firewall-cmd --list-all 현재 시스템이 오픈한 서비스와 그 포트 확인 netstat -atunp 외부에서 나의 서버에 ssh서비스를 통해 접속됨을 확인 방화벽에서 ssh 서비스 차단하고, 차단된 것 확인 systemctl stop sshd firewall-cmd --remove-service=ssh success ## 추가 SELinux 정책과 관련해서 내가 원하는 포트가 막혀있을 경우가 있다 예를들어서 2200번 포트로 설정을 했지만 문제가 생긴다면 # semanage port -a -t ssh_port_t -p tcp 2200 해당 명령어를 사용해보자 ``` ## 계정 생성 관련 1. 새로운 계정을 생성 - sudo useradd `[아이디]` 2. 사용자 계정 암호 설정 - sudo passwd 사용자계정 3. 일반 계정에 루트 권한 부여 - #vi /etc/sudoers ``` sudoers 파일의 "## Allow root to run any commands anywhere" 밑에 생성한 일반계정을 추가 ``` ## 보안설정 방화벽 설치 후 실행 이 때는 root로 접속이 되있는 상태 이 계정에 대한 root 권한을 하나에게만 쥐어줌 새로운 세션을 열어서 그 계정에 접속 후 sudo를 해서 root 권한을 가지고 있는지 확인 root에 대한 계정 원격접속 제한 sshd 재가동 sshd 재가동을 해도 기존에 접속되어 있던 root를 죽이지는 않음 서버와 나만아는 인증서를 생성 인증서를 서로 교환만하면(서버와)된다 왠만하면 뚫리지 x ### 계정 관리 1. (ssh) PermitRootLogin 계정 원격 접속 제한 - 원격 터미널 서비스를 사용하지 않거나 사용시 root 직접 접속을 차단해줌 ``` #vi /etc/ssh/sshd_config PermitRootLogin no sshd 재가동 systemctl restart sshd ``` 2. (ssh) MaxAuthTries - 설정한 값 이상으로 로그인 시도 시 접속이 강제 종료 기본값은 6 ``` # vi /etc/ssh/sshd_config MaxAuthTries 3 ``` 3. (ssh) 포트 변경하기 - 기본은 22 포트, 외부에 오픈을 해야할 시 보안상 포트를 변경하는 것이 좋음 22 포트를 2200 포트로 변경 할 경우 아래와 같이 변경 후 sshd 데몬을 재기동 해준다 ``` # vi /etc/ssh/sshd_config Port 2200 ``` 4. 계정 잠금 임계값 설정 - 원격 로그인 몇 회 이상 실패 시 계정 잠금 설정 - system-auth 와 password-auth 두 곳에 설정 할 수 있다 - system-auth에 설정 할 경우 "콘솔을 통한 로그인", "su 전환" 시 적용 - password-auth에 설정 할 경우 "x-window (KDE, Gnome) 로그인", "ssh 원격 접속" 시 적용 ``` # vi /etc/pam.d/system-auth #%PAM-1.0 # This file is auto-generated. # User changes will be destroyed the next time authconfig is run. auth required pam_env.so auth required pam_tally2.so deny=5 unlock_time=120 <<<<< 추가 시 위치 주의 auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 1000 quiet_success auth required pam_deny.so account required pam_unix.so account required pam_tally2.so <<<<< 추가 시 위치 주의 account sufficient pam_localuser.so account sufficient pam_succeed_if.so uid < 1000 quiet account required pam_permit.so password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so -session optional pam_systemd.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_unix.so ``` ``` # vi /etc/pam.d/password-auth #%PAM-1.0 # This file is auto-generated. # User changes will be destroyed the next time authconfig is run. auth required pam_env.so auth required pam_tally2.so deny=5 unlock_time=120 <<<<< 추가 시 위치 주의 auth sufficient pam_fprintd.so auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 1000 quiet_success auth required pam_deny.so account required pam_unix.so account required pam_tally2.so <<<<< 추가 시 위치 주의 account sufficient pam_localuser.so account sufficient pam_succeed_if.so uid < 1000 quiet account required pam_permit.so password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so -session optional pam_systemd.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_unix.so ``` 8. 불필요한 계정 삭제 하기 - lp, uucp, nuucp 계정을 삭제 권고 - lp : 프린터 사용 관련 계정 - uucp : 유닉스시스템과 파일 복사를 위한 프로토콜 - nuucp : uucp 시스템에서 사용하는 계정으로 시리얼 라인을 통해 파일을 주고 받거나 메일 전송 시 사용 ``` # userdel -r lp # userdel -r uucp # userdel -r nuucp ``` ### 파일 및 디렉토리 관리 1. SUID, SGID, Sticky bit 설정 및 권한 설정 - 주요 실행파일의 권한에 SUID, SGID에 대한 설정이 부여 되어 있는지 확인 한다 - 아래 14개 파일을 확인하여 권한이 부여 되어 있으면 권한을 제거 해줘야 한다 - 제거 방법 : ex) chmod -s /sbin/dump 으로 제거 해준다 ``` 대상 파일명 - /sbin/dump - /usr/bin/lpq-lpd - /usr/bin/newgrp - /sbin/restore - /usr/bin/lpr - /usr/sbin/lpc - /sbin/unix_chkpwd - /usr/bin/lpr-lpd - /usr/sbin/lpc-lpd - /usr/bin/at - /usr/bin/lprm - /usr/sbin/traceroute - /usr/bin/lpq - /usr/bin/lprm-lpd ```

게시글 상세