Bảo mật HiTechCloud

Phần này mô tả các thực hành tốt nhất và thiết lập giúp tăng cường bảo mật cho máy chủ HiTechCloud của bạn, qua đó bảo vệ nó khỏi nhiều loại tấn công và việc mất dữ liệu nhạy cảm:

Cổng mạng và tường lửa

Máy chủ mới có ConfigServer Firewall (CSF) đã cài nhưng đang tắt, để một quy tắc không thể khoá bạn ở ngoài trong lúc cài đặt. Hãy bật nó ngay khi truy cập được máy chủ:

hitechcloudcli firewall on

Lệnh này mở những gì máy chủ phục vụ: 80 và 443 (website), 2083 (panel), 2087 (quản trị), 2096 (webmail), 8888 (phpMyAdmin), 53 (DNS), 25, 465 và 587 (mail), 110, 143, 993 và 995 (truy cập hộp thư), 20, 21 và dải cổng passive của FTP, cổng SSH từ sshd_config, và 2091 đến 2093 cho các cổng khách hàng đang bật. Nó đưa địa chỉ bạn chạy lệnh vào danh sách cho phép. Cổng cơ sở dữ liệu và bộ nhớ đệm (3306, 5432, 6379, 27017 và các cổng khác) không bao giờ được nó mở. Xem hitechcloudcli firewall.

Các dịch vụ chỉ máy chủ tự dùng thì ở trên loopback: các web server phía sau front end, portal API (2094) và các instance Redis, Valkey (mỗi lần cập nhật đều kiểm tra lại rằng các instance bộ nhớ đệm chỉ lắng nghe trên loopback: hitechcloudcli objectcache loopback).

Fail2ban

Trình cài đặt thiết lập fail2ban với các jail sau trong /etc/fail2ban/jail.d/hitechcloud.conf: sshd, hitechcloud-panel (đăng nhập thất bại vào 2083 và 2087, từ /var/log/hitechcloud/user/failed_login.log; 3 lần thử, bị chặn 2 giờ), postfix, dovecot và pure-ftpd. Mặc định là 5 lần thử trong 10 phút, bị chặn 1 giờ.

Địa chỉ dùng để cài máy chủ được thêm vào ignoreip, để người cài không bị khoá ở ngoài. Lần cài không chạy qua SSH thì không có địa chỉ đó: hãy thêm địa chỉ của bạn vào ignoreip trong tệp đó nếu bạn quản trị máy chủ từ xa, rồi chạy systemctl reload fail2ban.