@Lenciel

First steps on a new server

一般来说，新开张的小团队不会养专职的运维和部署团队。一般服务器开发的项目组会有人兼职做这部分的事情。刚开始的时候这部分的工作量一般也不大，但是随着租用的服务器越来越多，兼职的人就会发现自己是在打上甘岭战役————坡越来越陡。

因此，一个简单而有效的标准流程是非常必要的。ZooM 团队的服务器都会配置两个固定的帐号： root 和 deploy 。 deploy 这个用户具有 sudo 的权限。开发人员使用 deploy 但是不通过用户名密码登录而是用 public key 。这样一来，只需要保证所有机器的 authorized_keys 文件同步即可。后面要做的改进是：

  • 在所有机器禁止通过 root 账号进行 ssh
  • 在所有机器上限制可以 ssh 的 IP 范围

这样的实施方案对 authorized_keys 的保密性和正确性要求是很高的，但是在没有专门 IT 的时候，对我们这样的小团队基本是够用的。下面是详细的步骤：

我们拿到的第一台机器是 Ubuntu 的，因为 Gitlab 只有 Debian 的版本。后面的机器大多会是 CentOS，所以使用的命令可能会稍微有调整，但是意思是不变的。

更换root密码

passwd

可以很长很复杂（反正也不需要记得），保存在某个地方在你忘记 sudo 密码或者是不能正常 ssh 的时候能找出来用就可以了。

更新系统

apt-get update
apt-get upgrade

安装Fail2ban

apt-get install fail2ban

Fail2ban 是一个用来监控登录尝试的 daemon ，可以有效侦测和防止可疑行为的发生。这个工具文档很全，而且出厂配置就很齐全，几乎不需要定制就能投入使用了。

添加deploy用户

useradd deploy
mkdir /home/deploy
mkdir /home/deploy/.ssh
chmod 700 /home/deploy/.ssh

配置 public key

使用密码的日子已经慢慢过时了，这方面 Github 很有贡献。只需要：

vim /home/deploy/.ssh/authorized_keys

把 id_rsa.pub 的内容拷贝进去。然后：

chmod 400 /home/deploy/.ssh/authorized_keys
chown deploy:deploy /home/deploy -R

当然你也可以使用 id_rsa.pub 之外的 key，然后在本地的 ~/.ssh/config 里面对 IdentityFile 做指定。具体方式可以查看 ~/.ssh/config的说明。

测试deploy用户并赋予 Sudo 权限

先测试 deploy 是否能够正常登录，然后使用 root 账号设置密码：

passwd deploy

这是团队要用来 sudo 的账号，所以要弄得有意义好记一点儿。接下来：

visudo

注释掉所以已经存在的用户、用户组权限，然后加上：

root    ALL=(ALL) ALL
deploy  ALL=(ALL) ALL

锁定SSH

设置 ssh，禁止使用密码 ssh，禁止使用 root 账号 ssh。

vim /etc/ssh/sshd_config

添加下面的设置：

PermitRootLogin no
PasswordAuthentication no

如果有需要还可以限定可以 ssh 的 ip 地址：

AllowUsers deploy@(your-ip) deploy@(another-ip-if-any)

重启 ssh：

service ssh restart

设置防火墙

Ubuntu 提供了 ufw，所以只需要：

ufw allow from {your-ip} to any port 22
ufw allow 80
ufw allow 443
ufw enable

打开自动安全更新

虽然很多习惯好的服务器使用者会知道运行apt-get update/upgrade 但是如果服务器很多，总会有一些不那么被经常登录的机器，系统会比较陈旧。特别是做负载均衡的机器，可能很少有人登录。为了保证所有的机器都有足够的安全性需要打开自动更新（作为习惯控制一切的开发人员，自动更新总是一件让我很抗拒的事情，但是安全漏洞更让人抗拒）：

apt-get install unattended-upgrades
vim /etc/apt/apt.conf.d/10periodic

在文件里面修改成：

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

接着修改：

vim /etc/apt/apt.conf.d/50unattended-upgrades

修改文件成：

Unattended-Upgrade::Allowed-Origins {
    "Ubuntu lucid-security";
    //"Ubuntu lucid-updates"; 只更新安全更新
};

安装Logwatch

Logwatch 是一个监控你的日志并发送邮件通知的 daemon。

apt-get install logwatch
vim /etc/cron.daily/00logwatch

在文件中添加：

/usr/sbin/logwatch --output mail --mailto lenciel@gmail.com --detail high

What’s Next

  • 使用 Puppet 自动化这些配置
  • 在基础的配置上，把一个 fresh 的机器如果配置成各种形态的（Django/Web/Database/LoadBalance/…)

欢迎留言