評判のさくらのVPSを使うときに最初にやっておきたいこと(CentOS編)

まずは、SSHのポートを変更して、簡単にアタックされないようにしておきます。指定するポート番号は、10000以降の適当なポート番号を割り当てましょう。

/etc/ssh/sshd_config を編集します。

...
# ポート番号を 22 (デフォルト)から10022へ変更する
#Port 22
Port 10022
...
# SSHのプロトコルをSSH2のみ対応とする
Protocol 2
...
# rootでのログインを不可とする
PermitRootLogin no
...
# パスワードでのログインを許可する
PasswordAuthentication yes
...
# パスワードなしでのログインを不可とする
PermitEmptyPasswords no
...
# hoge というユーザだけログインを許可する
AllowUsers hoge
...

ここでは、ポート番号、SSHプロトコル、rootでのログイン不可、ログイン可能なユーザ名を指定しています。
（後でhogeというユーザを追加しています。）
また、ログインするIPアドレスが決まっているなら、許可するIPアドレスも指定した方がより良いです。

ここでは、単純にiptablesを使っていないポートを外部に非公開とするようにします。
シェルファイルを作成して、一気にやってしまいます。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

#!/bin/sh
 
/sbin/iptables -F
/sbin/iptables -X
 
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD DROP
 
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A OUTPUT -o lo -j ACCEPT
 
/sbin/iptables -A INPUT -s 10.0.0.0/8 -j DROP
/sbin/iptables -A INPUT -s 172.16.0.0/12 -j DROP
/sbin/iptables -A INPUT -s 192.168.0.0/16 -j DROP
 
/sbin/iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
 
/sbin/iptables -A INPUT -p tcp --dport 10022 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
 
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 
/etc/rc.d/init.d/iptables save
 
/sbin/service iptables restart

ここでは、10022(SSH),80(HTTP)の２つのポートのみを公開し、それ以外をすべて非公開にしています。
また、プライベートIPアドレス(10.x.x.x,172.16.x.x,192.168.x.x)は、すべて拒否してます。

$ chmod 755 ファイル名
$ ./ファイル名

ここでは、SSHで唯一ログインを許可するようにしたhogeユーザを追加してみましょう。

$ useradd hoge
$ passwd hoge
Changing password for user hoge.
New UNIX password:
passwd: all authentication tokens updated successfully.
$ usermod -G wheel hoge
$

useraddで、hogeというユーザを追加しています。
passwordで、hogeのパスワードを設定しています。
usermodで、hogeをwheelのユーザグループに追加しています。
wheelは、管理者グループになります。

最後に、無駄に動作しているプロセスを停止するようにします。
これもシェルファイルを作成して、一気にやってしまいます。

• CentOS 5
  

  登録および動作しているデーモンは以下のとおりです。

  サービス	概要	現行	変更
  NetworkManager	有線/無線(コネクション)に必要に応じて自動接続してくれるサービス	OFF	–
  acpid	電源管理	ON	–
  anacron	タスクスケジューラー（cronの補助的役割）	OFF	–
  atd	at (コマンド)デーモン	ON	–
  auditd	システム監査結果のログ保存	OFF	–
  autofs	ファイルシステムの自動マウント	OFF	–
  avahi-daemon	LAN内でのネットワーク自動構成	OFF	–
  avahi-dnsconfd	DNSサーバなしにローカルネットワーク上のデバイスとサービスを検出する	OFF	–
  bluetooth	文字通りbluetooth	OFF	–
  conman	リモートコンソール(conman)の管理	OFF	–
  cpuspeed	システムのアイドル比率に応じてCPUの動作周波数を上下させる	ON	–
  crond	cronデーモン	ON	–
  dnsmasq	DNS キャッシュサーバ	OFF	–
  dund	Bluetooth ダイアルアップデーモン	OFF	–
  firstboot	インストール直後に呼び出されるもの	OFF	–
  gpm	コンソールマウス機能	OFF	–
  haldaemon	D-BUSサポート	OFF	–
  hidd	bluetoothのキーボードやマウスの対応	OFF	–
  ip6tables	ipv6用iptables	ON	–
  ipmi	ハードウェアリモート管理インターフェース(IPMI)管理デーモン	OFF	–
  iptables	iptables (ファイアウォール）	ON	–
  irda	赤外線通信	OFF	–
  irqbalance	マルチCPU環境でセカンドCPU以降も割り込み処理を行える	OFF	–
  iscsi	SCSIプロトコルをTCP/IPネットワーク上で使用する規格	OFF	–
  iscsid	SCSIプロトコルをTCP/IPネットワーク上で使用するためのデーモン	OFF	–
  kudzu	ハードウェアの構成変更を検知	OFF	–
  lvm2-monitor	LVMの障害監視	ON	OFF
  mcstrans	SELinuxの運用サポート	OFF	–
  mdmonitor	RAID の状態監視サービス	OFF	–
  mdmpd	RAID の状態監視サービス(multipath devices)	OFF	–
  messagebus	D-BUSサポート	OFF	–
  microcode_ctl	マイクロコード制御	OFF	–
  multipathd	device-mapperカーネルドライバを使用してマルチパスデバイスのサポート	OFF	–
  netconsole	ネットコンソール（カーネル異常時に出力先として用いられるコンソール）	OFF	–
  netfs	NFSクライアント	OFF	–
  netplugd	ネットワークケーブルのホットプラグ管理デーモン	OFF	–
  network	ネットワークサービス	ON	–
  nfs	NFSサービス	OFF	–
  nfslock	NFSロック	OFF	–
  nscd	ユーザー認証、名前解決 などのためのデータキャッシュデーモン	OFF	–
  ntpd	NTP(時間管理)デーモン（誤差を埋める）	ON	–
  oddjobd	D-BUS 制御デーモン	OFF	–
  pand	Bluetooth ネットワーク制御デーモン	OFF	–
  pcscd	スマートカードの管理	OFF	–
  portmap	RPCのポートマッパー	OFF	–
  psacct	実行したコマンドログ(実行時の負荷情報なども記録)	OFF	–
  rawdevices	ハードディスクをブロックデバイスとして利用する際の補助	OFF	–
  rdisc	ネットワークルータディスカバリーデーモン。ルータとして動作させないのであれば不要。	OFF	–
  readahead_early	前もってファイルをページ・キャッシュに読み込む	ON	–
  readahead_later	前もってファイルをページ・キャッシュに読み込む	ON	–
  restorecond	SELinuxの運用サポート	OFF	–
  rpcgssd	NFS関連。RPCにおいてセキュリティコンテキストを生成するデーモン	OFF	–
  rpcidmapd	NFS関連。RPC名(UID/GID)マッパー	OFF	–
  rpcsvcgssd	NFS関連。RPCSEC GSS （サーバーサイド）	OFF	–
  rsyslog	Rシスログデーモン	OFF	–
  saslauthd	sasl認証サービス	OFF	–
  sendmail	sendmail(smtpサーバー)	ON	–
  smartd	S.M.A.R.Tのサポート	OFF	–
  sshd	SSHデーモン	ON	–
  svnserve	Subversion サーバー	OFF	–
  syslog	シスログデーモン	ON	–
  tcsd	TCGソフトウエアスタックサービス	OFF	–
  wpa_supplicant	無線LANの暗号化、認証規格WPA(Wi-Fi Protected Access)サポート	OFF	–
  xfs	X-Window System用のフォントサーバ	OFF	–
  ypbind	NIS ユーザ管理デーモン	OFF	–
  yum-updatesd	yum自動アップデート	OFF	–

  上記の動作しているデーモンの中で、 論理ボリュームマネージャー(LVM)を使わない方（よくわからない方）には、lvm2-monitorも停止しても問題ないでしょう。
  また、ipv6 非対応なら、ip6tablesも停止しても問題ないでしょう。
  

  #!/bin/sh   /sbin/chkconfig lvm2-monitor off

  
  
• CentOS 6
  

  登録および動作しているデーモンは以下のとおりです。

  サービス	概要	現行	変更
  abrt-ccpp	自動バグ報告ツール	OFF	–
  abrt-oops	不具合をoopsトラッカーへ送信するサービス	OFF	–
  abrtd	自動バグ報告ツール	OFF	–
  acpid	電源管理	ON	–
  atd	at (コマンド)デーモン	ON	–
  auditd	システム監査結果のログ保存	OFF	–
  cpuspeed	システムのアイドル比率に応じてCPUの動作周波数を上下させる	ON	–
  crond	cronデーモン	ON	–
  haldaemon	D-BUSサポート	OFF	–
  ip6tables	ipv6用iptables	ON	–
  iptables	iptables (ファイアウォール）	ON	–
  irqbalance	マルチCPU環境でセカンドCPU以降も割り込み処理を行える	ON	–
  kdump	システム異常時にダンプ出力する	OFF	–
  lvm2-monitor	LVMの障害監視	ON	OFF
  mdmonitor	mdデバイスの監視	OFF	–
  messagebus	D-BUSサポート	OFF	–
  netconsole	ネットコンソール（カーネル異常時に出力先として用いられるコンソール）	OFF	–
  netfs	NFSクライアント	OFF	–
  network	ネットワークサービス	ON	–
  ntpd	NTP(時間管理)デーモン（誤差を埋める）	ON	–
  ntpdate	NTP(時間管理)デーモン（即設定）	ON	OFF
  postfix	postfix(smtpサーバー)	ON	–
  psacct	実行したコマンドログ(実行時の負荷情報なども記録)	OFF	–
  quota_nld	クォータ値超過の警告が発生した旨のカーネルメッセージを D-BUS に転送する	OFF	–
  rdisc	ネットワークルータディスカバリーデーモン。ルータとして動作させないのであれば不要。	OFF	–
  restorecond	SELinuxの運用サポート	OFF	–
  rngd	ハードウェア TRNG (true ramdom number generator) と、カーネルの PRNG (pseudo- random number generator) の間のブリッジ	OFF	–
  rsyslog	シスログデーモン	ON	–
  saslauthd	sasl認証サービス	OFF	–
  smartd	S.M.A.R.Tのサポート	OFF	–
  sshd	SSHデーモン	ON	–
  sysstat	システム情報取得サービス	ON	–
  udev-post	ハードウェア自動認識を行うデーモン	ON	–

  上記の動作しているデーモンの中で、間違いなく不要と思えるものは ntpdate でしょう。
  論理ボリュームマネージャー(LVM)を使わない方（よくわからない方）には、lvm2-monitorも停止しても問題ないでしょう。
  また、ipv6 非対応なら、ip6tablesも停止しても問題ないでしょう。
  

  #!/bin/sh   /sbin/chkconfig ntpdate off /sbin/chkconfig lvm2-monitor off

  
  

$ chmod 755 ファイル名
$ ./ファイル名

CentOSのロケールの設定を日本に設定します。

/etc/sysconfig/i18nを編集します。
初期状態は以下のようになっています。

LANG="C"
SYSFONT="latarcyrheb-sun16"

これを、以下のように変更します。

LANG="ja_JP.UTF-8"
SUPPORTED="ja_JP.UTF-8:ja_JP:ja"
SYSFONT="latarcyrheb-sun16"

標準のviエディタでも良いのですが、多言語に対応したvimの方が、使い勝手は間違いなく良いですから、インストールしておきましょう。

$ yum -y install vim-enhanced

これだけで、自動的にインストールできます。

vimを標準のエディタとして使うために、vi のaliasとして登録しておきます。
また、/sbin へのパスも設定しておくと便利です。パスをとおしておくと、いちいち/sbinを先頭にタイプしなくて良くなりますからね。

.bash_profile は、各ユーザのホームディレクトリ直下にある( 例: ~hoge/.bash_profile ) ものを編集します。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

# .bash_profile
 
# Get the aliases and functions
if [ -f ~/.bashrc ]; then
        . ~/.bashrc
fi
 
# User specific environment and startup programs
 
PATH=$PATH:$HOME/bin:/sbin:/usr/sbin
 
# alias
alias vi='vim'
 
export PATH

１０行目で、/sbinと/usr/sbinへのパスと追加しています。
１３行目で、vimの別名をviとしています。

$ source ~hoge/.bash_profile