Dotaz: povolit SMTP jenom pro localhost PHP

[zacatecnik]

Zdravím, měl jsem klasický sdílený webhosting, ale weby přibývaly a tak jsem musel přejít na VPS.. A tam jsem si sám nainstaloval Apache, PHP, MySQL a postfix..

A nerad bych z VPS měl spamovací server a tak bych se chtěl zeptat, jak povodím odesílání emailů jenom z PHP skriptu (případně z bash skriptu) a zakážu odesílání např přes telnet?
Scanoval jsem porty a server naslouchá na tomto:
22 SSH,
80 http,
25!! SMTP
3306 MySQL..

Chtěl bych ten SMTP port zakázat.
+ MySQL si omezím jen na některé IP adresy,
Na SSH mám složité heslo, je už takto server zabezpečený dostatečně?

Odpovědi

[Filip Jirsák]

Nastavte v konfiguraci Postfixu inet_interfaces = 127.0.0.1, mydestination nastavte na prázdnou hodnotu a mynetworks_style = host.

[the.max]

to ze posloucha na portu 25 jeste neznamena, ze je otevreny pro relay. Jsou 2 moznosti. Bud pomoci iptables bloknes port, nebo v konfiguraci postfixu povolis relay jen z localhostu (koukni na parametr mynetworks a vsude kde se bude vyskytovat)

Co se tyka SSH, tak doporucuju zakazat prihlaseni pomoci hesla a prihlasovat se pouze pomoci klice. Dale je vhodne zakazat prime prihlaseni roota, ale vytvorit si nejaky jiny ucet (jehoz login nebude nijak spojitelny s tvou osobou ci jmenem serveru) a k prihlaseni na server pouzit tento ucet a nasledne pomoci 'su' se prihlasit jako root. To cele se da jeste zkombinovat s timto.

[Filip Jirsák]

Dale je vhodne zakazat prime prihlaseni roota

Tím bych začátečníka nemátl. Jediný efekt toho je, že někdo má pocit, že když je to přihlašování tak složité a otravné, určitě to musí být hodně bezpečné – ale se skutečnou bezpečností to nemá nic společného.

[zacatecnik]

Děkuji, hned mám lepší pocit z bezpečnosti serveru..

[zacatecnik]

BTW, todle je normální? V jednom kuse pokusy o přihlášení…

Oct 11 18:14:03 VS132 sshd[13073]: Failed password for invalid user username from 190.15.141.101 port 44173 ssh2
Oct 11 18:14:04 VS132 sshd[13075]: Invalid user user from 190.15.141.101
Oct 11 18:14:04 VS132 sshd[13075]: pam_unix(sshd:auth): check pass; user unknown
Oct 11 18:14:04 VS132 sshd[13075]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=mail.fc
m.uce.edu.ec
Oct 11 18:14:07 VS132 sshd[13075]: Failed password for invalid user user from 190.15.141.101 port 44249 ssh2
Oct 11 18:14:08 VS132 sshd[13077]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=fcm.uce
.edu.ec  user=root
Oct 11 18:14:11 VS132 sshd[13077]: Failed password for root from 190.15.141.101 port 44329 ssh2
Oct 11 18:14:13 VS132 sshd[13079]: Invalid user admin from 190.15.141.101
Oct 11 18:14:13 VS132 sshd[13079]: pam_unix(sshd:auth): check pass; user unknown
Oct 11 18:14:13 VS132 sshd[13079]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=fcm.uce
.edu.ec
Oct 11 18:14:15 VS132 sshd[13079]: Failed password for invalid user admin from 190.15.141.101 port 44396 ssh2
Oct 11 18:14:17 VS132 sshd[13082]: Invalid user test from 190.15.141.101
Oct 11 18:14:17 VS132 sshd[13082]: pam_unix(sshd:auth): check pass; user unknown
Oct 11 18:14:17 VS132 sshd[13082]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=fcm.uce
.edu.ec
Oct 11 18:14:18 VS132 sshd[13082]: Failed password for invalid user test from 190.15.141.101 port 44472 ssh2
Oct 11 18:14:20 VS132 sshd[13084]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=mail.fc
m.uce.edu.ec  user=root
Oct 11 18:14:22 VS132 sshd[13084]: Failed password for root from 190.15.141.101 port 44541 ssh2
Oct 11 18:14:24 VS132 sshd[13086]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=fcm.uce
.edu.ec  user=root
Oct 11 18:14:26 VS132 sshd[13086]: Failed password for root from 190.15.141.101 port 44608 ssh2
Oct 11 18:14:30 VS132 sshd[13088]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=fcm.uce
.edu.ec  user=root
Oct 11 18:14:32 VS132 sshd[13088]: Failed password for root from 190.15.141.101 port 44668 ssh2
Oct 11 18:14:34 VS132 sshd[13090]: Invalid user danny from 190.15.141.101
Oct 11 18:14:34 VS132 sshd[13090]: pam_unix(sshd:auth): check pass; user unknown

[moira]

Naprosto. Zkus třeba fail2ban. Nebo rovnou zakaž přihlašování heslem, jak radil někdo nahoře.

[Filip Jirsák]

Zkus třeba fail2ban.

Pokud bude za NATem v jedné síti s nějakým zavirovaným počítačem, může mu ten zavirovaný počítač snadno odříznout přístup k serveru. A nebo daleko pravděpodobnější varianta, že mu ten přístup odřízne zlomyslný soused či kolega, který s ním také sdílí síť, a ví o cílovém serveru, takže jej netrefí náhodou, ale cíleně. Blokovat nějakou IP adresu po neúspěšném útoku zkrátka moc smysl nedává.

[moira]

To je pravda, to se může stát. Já jsem naštěstí v situaci, že mám dost dalších strojů v jiných sítích ze kterých se mohu případně přihlásit, takže jsem nad tím takto nikdy neuvažoval.

[Jendа]

Jo, zavirované počítače se snaží uhodnout heslo slovníkem a přidat tě do botnetu. Pokud nemáš heslo qwertz123, tak tě to nemusí trápit. Pokud to moc žere bandwidth, tak existují různé blacklisty či fail2ban (nezkoušel jsem, jenom vím, že to existuje).

[Heřmi]

jest bych zminil, na ochranu ssh je primo denyhosts

[Petr Šobáň]

A nebo spouštět ssh na jiném portu který k vám projde na váš server.

[the.max]

jj, ten pouzivam, je to dobra vec